原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/tcp-ao: del_async経路におけるキーのuse-after-freeを修正。tcp_ao_delete_key()関数では、del_async経路が同期的経路に存在するcurrent_keyおよびrnext_keyの有効性チェックをスキップしており、これらのポインタはLISTENソケット上では常にNULLであると仮定していました。しかし、ソケットがCLOSE状態にある間にset_current=1/set_rnext=1でキーが追加された場合、listen()によってソケットがLISTEN状態に遷移した後でも、current_keyおよびrnext_keyはNULLでない可能性があります。このようなキーがdel_async=1で削除されると、hlist_del_rcu()およびcall_rcu()によってキーが解放されますが、ダングリングポインタのクリアが行われません。RCUの猶予期間終了後にgetsockopt(TCP_AO_INFO)が解放済みスラブメモリからcurrent_key-＞sndidおよびrnext_key-＞rcvidを参照してしまいます。del_async経路では、削除対象のキーを参照している場合、current_keyおよびrnext_keyをクリアするように修正されました。