JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032001 Linuxカーネルにおいて、以下の脆弱性が修正されました。tracing: func_set_flag()におけるNULLポインター逆参照の修正です。func_set_flag()は現在のトレーサーが実際に関数トレーサーであるかを検証する前にtr-＞current_trace_flagsを逆参照していました。アクティブなトレーサーが「function」から別のトレーサー（例: 「wakeup_rt」）に切り替えられた場合、tr-＞current_trace_flagsがNULLになることがあり、NULLポインター逆参照によるカーネルクラッシュが発生していました。この問題を引き起こす呼び出し連鎖は以下の通りです。trace_options_write() → __set_tracer_option() → trace-＞set_flag() （func_set_flag）です。func_set_flag()内で最初の操作は以下の通りです。if (!!set == !!(tr-＞current_trace_flags-＞val & bit))。この時点でtr-＞current_trace_flagsを無条件に逆参照しています。非関数トレーサーに対する安全チェックは以下のように記述されていました。if (tr-＞current_trace != &function_trace) return 0; しかし、このチェックは逆参照の後に置かれており、遅すぎました。以下のクラッシュダンプで本問題が観測されています。BUG: unable to handle page fault at 0000000000000000 RIP: func_set_flag+0xd Call Trace: __set_tracer_option+0x27 trace_options_write+0x75 vfs_write+0x12a ksys_write+0x66 do_syscall_64+0x5b RIP: ffffffff914c973d RSP: ff67ec88b01dfdf0 RFLAGS: 00010202 RAX: 0000000000000000 RBX: ff3a826e80354580 RCX: 0000000000000001 RDX: 0000000000000001 RSI: 0000000000000000 RDI: ffffffff93918080。ディスアセンブルは以下のとおりで、フォルトを裏付けています。func_set_flag+0: mov 0x1f08(%rdi), %rax （RAX = tr-＞current_trace_flags = NULL）、func_set_flag+13: mov (%rax), %eax （ページフォルト：NULL逆参照）。クラッシュ時の状況は以下の通りです。tr-＞current_trace_flags = 0x0 (NULL)、tr-＞current_trace = wakeup_rt_tracer （function_traceではありません）。シナリオとしては、プロセスがfunction tracerのオプションファイル（例: "func_stack_trace"）を開き、その後現在のトレーサーが別のトレーサー（例: "wakeup_rt"）に切り替わり、current_trace_flagsがNULLに設定されます。その後、プロセスがオプションファイルへ書き込みを行うとfunc_set_flag()が呼ばれ、NULL逆参照によってクラッシュします。この問題はcurrent_trace_flagsの逆参照前にcurrent_traceのチェックを移動することで修正されており、function tracerがアクティブでない場合はfunc_set_flag()が早期にリターンするよう改善されています。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032001.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64451 https://www.cve.org/CVERecord?id=CVE-2026-64451 National Vulnerability Database (NVD) CVE-2026-64451 https://nvd.nist.gov/vuln/detail/CVE-2026-64451 JVNDB CWE-476 http://cwe.mitre.org/data/definitions/476.html 関連文書 tracing: Fix NULL pointer dereference in func_set_flag() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/69f17ac132a38974cf1defb480cef6b79d1ab768) https://git.kernel.org/stable/c/69f17ac132a38974cf1defb480cef6b79d1ab768 関連文書 tracing: Fix NULL pointer dereference in func_set_flag() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/c3e94604675e3db186111b8942650d86577df9b0) https://git.kernel.org/stable/c/c3e94604675e3db186111b8942650d86577df9b0 2026-09-04T17:47:40+09:00 2026-09-04T17:47:40+09:00