脆弱性情報（JVN）検索・一覧

ドキュメントの構造に異常があり、ページ要素の関係と内部インデックスの状態に不整合が生じました。スクリプトがドキュメントの変更を引き起こした際に、オブジェクト参照の有効性が適切に維持されず、ページ情報を照会すると無効なポインタにアクセスしてクラッシュが発生しました。

Google Chrome 147.0.7727.138以前のWebRTCにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

147.0.7727.138以前のAndroid版Google ChromeのWebViewにUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できました。

Windows上のGoogle Chromeのバージョン147.0.7727.138より前には、ViewsのUse after freeの脆弱性が存在していました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを通じてレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Windows版Google Chromeのバージョン147.0.7727.138以前において、アクセシビリティのUse after freeの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスから脱出する可能性がありました。

Google Chrome 147.0.7727.138より前のバージョンのCastにおけるUse after freeの脆弱性により、ローカルネットワークセグメント上の攻撃者が悪意のあるネットワークトラフィックを介してサンドボックス内で任意のコードを実行できる可能性がありました。（Chromiumセキュリティ重大度：高）この脆弱性は適切に対処されました。

Google Chrome 147.0.7727.138より前のバージョンのWebMIDIにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスをエスケープする可能性がありました。

Android版Google Chromeのバージョン147.0.7727.138以前に存在するMediaのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chromeのバージョン147.0.7727.138以前のMediaコンポーネントにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。Chromiumのセキュリティ重要度は中程度と評価されています。

Google Chromeのバージョン147.0.7727.138以前におけるNavigationのUse After Freeにより、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる脆弱性が存在しました。

Google Chromeのバージョン147.0.7727.138未満のGPUにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を潜在的に悪用し、レンダラープロセスを侵害する可能性がありました。

Google Chrome 147.0.7727.138より前のバージョンのAnimationにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性があります。（Chromiumセキュリティの重大度は高いです）。

Google Chromeの147.0.7727.138以前のバージョンのANGLEにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

iOS版Google Chromeの147.0.7727.138以前のバージョンにはUse after freeの脆弱性が存在し、リモート攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

LinuxおよびChromeOS上のGoogle Chrome（バージョン147.0.7727.138以前）におけるCanvasのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Linuxカーネルのhackrfドライバーにおいて、media: hackrf: hackrf_probe()内でデバイス登録後にメモリを解放しないように修正しなければならない脆弱性があります。hackrf_probe()で割り当てたメモリを登録後に直接解放すると、既に開かれているファイルディスクリプタによる操作時に使用後解放(UAF)や二重解放(DFB)の競合状態が発生します。この競合状態により、不正なメモリアクセスが可能となり、システムの安定性やセキュリティが損なわれる恐れがあります。したがって、デバイスの登録後にリソースを解放する際は、release()関数を経由して適切に処理しなければなりません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: as102: as102_usb_probe()内でデバイス登録後にメモリを解放しないように修正されました。as102_usbドライバでは以下の競合状態が発生します。CPU0ではas102_usb_probe()内でkzalloc()によりas102_dev_tを割り当て、usb_register_dev()を呼び出します。一方、CPU1ではsys_open("/path/to/dev")でas102のファイルディスクリプタを開き、その後usb_deregister_dev()とkfree()でas102_dev_tを解放します。sys_close(fd)呼び出し時にはas102_release() → as102_usb_release() → kfree()が発生し、use-after-freeおよびdouble-freeの脆弱性が生じます。usb_register_dev()で登録されたUSBキャラクタデバイスがusb_deregister_dev()や切断によって登録解除されると、デバイスノードは削除されて新しいopen()は失敗しますが、既に開いているファイルディスクリプタは最後の参照が外れるまで有効です。また、ドライバの.release()が呼ばれるまで保持されます。as102_usb_probe()はエラーパスでusb_deregister_dev()後に即座にas102_dev_tを解放してしまうため、ユーザ空間での競合により解放済みメモリへのアクセスが発生し、脆弱性が生まれます。この問題の修正はusb_register_dev()成功後に直接kfree(as102_dev_t)をしないことであり、登録解除後のメモリ解放は.release()に遅延させます。つまり、最後のopenファイルディスクリプタが閉じられた時点で.release()が最終的にkfreeを行うようにしています。

Linuxカーネルに存在した脆弱性で、bcacheのcached_dev.sb_bioに関するuse-after-freeおよびクラッシュの問題が修正されました。この脆弱性は、デバイスがスーパーブロックの書き込み中に停止した場合に解放済みのアドレスにアクセスが発生することで生じます。この問題の原因は、cached_devの解放時にsb_writeの完了を待機しなかったことです。修正パッチは、この待機を追加することで問題を解決しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAの6fireドライバにおける切断時のuse-after-freeの問題です。usb6fire_chip_abort()内で、chip構造体はsnd_card_newにより割り当てられたカードのプライベートデータ（struct sfire_chipのサイズ）として管理されています。snd_card_free_when_closed()が呼ばれ、開かれているファイルハンドルがなくなると、カードとその内部のchipは同期的に解放されます。しかし、その後chip-card = NULLへの書き込みが解放済みのスラブメモリに対して行われてしまいます。コールトレースは以下の通りです。usb6fire_chip_abortはsound/usb/6fire/chip.cの59行目（インライン）、usb6fire_chip_disconnectは182行目、usb_unbind_interfaceはdrivers/usb/core/driver.cの458行目などにあります。修正内容は、カードのライフサイクル管理をusb6fire_chip_abort()からusb6fire_chip_disconnect()に移動することです。カードポインタをローカルに保存し、tear down前にsnd_card_disconnect()を最初に呼び出して新規のオープンを防止します。URBはchipが有効な間に中断され、最後にsnd_card_free_when_closed()を呼び出すことで、カード解放後にchipへのアクセスが発生しないようにしました。

Linuxカーネルのhwmonサブシステムに含まれるpowerzドライバにて、USBデバイス切断時にUse-After-Freeの脆弱性が存在していました。具体的には、powerz_disconnect()関数がURBを解放し、関連するミューテックスを解放した後に、powerz_read()関数が解放されたURBにアクセスを試みることで不正なメモリアクセスが発生する問題です。本脆弱性は、powerz_disconnect()関数でpriv-urbをNULLに設定し、powerz_read_data()関数で切断状態を適切に検出して処理を中断させることで修正されました。また、usb_set_intfdata()の呼び出し位置を移動させ、切断ハンドラが常にprivポインタを取得できるよう改善されました。

Linuxカーネルのmedia: em28xxサブシステムにおいて、em28xx_v4l2_open()関数がdev-lockを保持せずにdev-v4l2を読み取るため、use-after-freeの脆弱性が発生しました。この関数はem28xx_v4l2_init()のエラーパスとem28xx_v4l2_fini()との間で競合状態を引き起こし、解放済みの構造体にアクセスしてしまう可能性があります。具体的には、動画デバイス構造体の解放後にそのコントローラハンドラへアクセスしたり、NULLポインタ参照を引き起こしたりすることが報告されました。修正として、dev-v4l2の読み取り前にmutex_lock()でロックを取得し、NULLチェックを追加することで問題を解決しました。

Linuxカーネルにおいて、media: mediatek: vcodec コンポーネントのエンコーダの解放パスに存在する use-after-free 脆弱性が修正されました。fops_vcodec_release() 関数は、ctx-encode_work 内の保留中または実行中の作業をキャンセルする前にコンテキスト構造体(ctx)を解放しており、これにより作業キューのハンドラ(mtk_venc_worker)が解放済みのコンテキストメモリにアクセスするレースコンディションが発生していました。本脆弱性は、v4l2_m2m_ctx_release() が m2m ジョブのライフサイクルのみを待機し、作業キューのライフサイクルを考慮していなかったことに起因します。その結果、ジョブ完了後もワーカー関数が解放済みの ctx にアクセスする可能性がありました。修正として、kfree(ctx) の前に cancel_work_sync(&ctx-encode_work) を呼び出し、作業キューのハンドラをキャンセルし、かつ同期処理により安全に停止させてからコンテキストを解放します。これにより use-after-free を防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: lan966x: lan966x_fdma_reload() における use-after-free とリークの問題を修正しました。lan966x_fdma_reload() が新しいRXバッファの割り当てに失敗した場合、復元パスはすでに lan966x_fdma_rx_free_pages() により解放されたページを持つ古いディスクリプタを使ってDMAを再開します。page_pool_put_full_page() はページをバディアロケータに返却する可能性があるため、ハードウェアが現在他のカーネルサブシステムに所有されているメモリにDMAを行うことがあります。さらに、復元パスでは、新しく作成されたページプール（割り当てが部分的に成功した場合）が破棄されずに上書きされるため、リークが発生します。古いページの解放を新しい割り当ての成功後まで延期することで、両方の問題を修正しました。割り当て前に古いページ配列を保存し、成功パスで古いページを解放できるようにしています。失敗パスでは、古いディスクリプタ、ページ、およびページプールがすべて有効なままであるため、復元が安全に行えます。また、復元パスでNAPIを再有効化し、成功パスと同様にnetdevを起動させることも保証しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mmc: vub300における切断時のuse-after-freeの問題を修正しました。vub300ドライバーはコントローラおよびそのドライバーデータに対して明示的な参照カウントを保持しており、最後の参照は理論的にドライバーがバインド解除された後にドロップされる可能性があります。これは特に、コントローラの割り当てがデバイス管理されてはならないことを意味しており、その結果use-after-freeが発生する可能性がありました。現在、ライフタイムは親USBデバイスではなくインターフェースに誤って結び付けられており、ドライバーが物理的にデバイスから切断されずにバインド解除された場合（例：プローブの延期時）にメモリリークが発生することがあります。これらの両方の問題を、コントローラの非管理割り当てに戻すことで修正しました。

Linuxカーネルにおいて、mm/damon/statのdamon_call()が失敗した際にdamon_ctxが解放されずにリークする脆弱性が修正されました。damon_stat_start()は常にdamon_ctxオブジェクトを確保しますが、damon_call()が失敗するとdamon_ctxが解放されず、結果としてメモリリークが発生します。この問題は、damon_call()の失敗がkdamondの完全な終了を保証しないため、単純に解放するとuse-after-freeのリスクが生じるため、特別な処理が必要でした。修正では、damon_call()失敗後にdamon_ctxを即時解放せず、kdamondが完全に終了したことを確認してから解放する仕組みを導入し、メモリリークとuse-after-freeの両方を防いでいます。発見者はsashiko氏です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのnft_ctにおけるtimeoutオブジェクト破棄時のUse-After-Freeの問題を修正しました。nft_ct_timeout_obj_destroy()関数はnf_ct_untimeout()直後にkfree()でtimeoutオブジェクトを解放していましたが、RCUのグレース期間を待たずに解放を行っていました。そのため、他のCPUにおける並行パケット処理がnf_ct_timeout_data()内でrcu_dereference()経由で取得されたtimeoutオブジェクトへのRCU保護された参照を保持している可能性がありました。これを受けて、struct nf_ct_timeoutにrcu_headを追加し、kfree_rcu()を用いてRCUグレース期間後に解放を遅延させる方法を採用しました。この対応はnfnetlink_cttimeout.cで既に用いられている手法と一致しています。KASANのレポートによると、nf_conntrack_tcp_packet関数内でサイズ4の読み取りに関するslab-use-after-freeエラーが発生しました。このエラーはアドレスffff8881035fe19cにてタスクexploit/80によって検出され、コールトレースにはnf_conntrack_tcp_packet、nf_conntrack_in、nf_hook_slow、__ip_local_out、tcp_sendmsg_locked、__sys_sendtoが含まれていました。割り当てはタスク75によってnft_ct_timeout_obj_init、nft_obj_init、nf_tables_newobj、nfnetlink_rcv_batch関数群内で実施され、解放はタスク26によってnft_obj_destroy、nf_tables_trans_destroy_work、process_one_workが関与して行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。spi: spi-fsl-lpspiのteardown順序に問題があり、Use After Freeが発生していました。ドライバ内でteardown順序が適切に管理されていませんでした。SPIコントローラはdevm_spi_register_controller()を使用して登録されており、fsl_lpspi_remove()関数が返るまでSPIコントローラの登録解除が遅延していました。fsl_lpspi_remove()関数はDMAチャネルを同期的に停止するため、実行中のSPI転送がUse After FreeによりNULLポインタ参照を引き起こしていました。具体的には以下のエラーが発生しました。| fsl_lpspi 42550000.spi: DMA RXでのI/Oエラー| カーネルがNULLポインタ参照を仮想アドレス0000000000000000で処理できません| [...]| コールトレース:| fsl_lpspi_dma_transfer+0x260/0x340 [spi_fsl_lpspi]| fsl_lpspi_transfer_one+0x198/0x448 [spi_fsl_lpspi]| spi_transfer_one_message+0x49c/0x7c8| __spi_pump_transfer_message+0x120/0x420| __spi_sync+0x2c4/0x520| spi_sync+0x34/0x60| spidev_message+0x20c/0x378 [spidev]| spidev_ioctl+0x398/0x750 [spidev]| [...]. 修正として、fsl_lpspi_probe()内でdevm_spi_register_controller()からspi_register_controller()への切り替えを行い、対応するspi_unregister_controller()をfsl_lpspi_remove()に追加しました。

Linuxカーネルにおけるdrm/amd/displayの脆弱性は、DSC検証時に無関係なモード変更をスキップしない点にあります。コミット17ce8a6907f7以降、amdgpuは特定のストリームのタイミングに変更がない場合にCRTC状態のmode_changedフラグをfalseにリセットしますが、MST/DSC構成の変更が無関係なモード変更と同じKMSコミットで発生すると、この処理は正しく機能しません。例えば、内蔵パネルのDSC構成が外部画面接続の有無により変わらない場合、mode_changedフラグが誤って無視されますが、この状態でdm_update_crtc_state()は新しいストリームを作成し、amdgpu_dm_commit_streams()は古いストリームを解放せずメモリリークが発生します。さらにamdgpu_dm_atomic_commit_tail()では新しいストリーム参照を取得しないため、後にuse-after-freeが生じます。具体的にはKASANのuse-after-freeエラーが発生します。この問題を解決するために、DSC検証時にCRTCの無関係なモード変更が保留中かどうかを判断できないため、前のmode_changedフラグの値を記憶し、pre_validate_dsc()内でその値にリセットする修正を加えました。

Linuxカーネルのdrm/xe/pfにおいて、xe_sriov_pf_migration_restore_produce()がエラーを返した際にデータポインタがNULLに設定されず、その後のwrite()呼び出しでuse-after-freeが発生する脆弱性が修正されました。この問題により、メモリの安全性が向上します。コミット4f53d8c6d23527d734fe3531d08e15cb170a0819からチェリーピックされています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：RDMA/efaに関して、解放後の完了コンテキストの使用問題を修正しました。管理キューの完了処理において、管理コマンドがエラーで完了した場合でも、完了コンテキストからデータを出力していました。問題の原因は、ポーリングや割り込みハンドラ内で既に完了コンテキストを解放しているため、不明な状態のコンテキスト（再利用されている可能性もあります）からデータを出力してしまう点にあります。管理サブミッションのフローを変更し、コンテキストの割り当てと解放を対称的にしました。また、コンテキストの潜在的な使用後に解放を呼び出すように修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのbtintelモジュールにおいて、btintel_hw_error()関数をhci_req_sync_lockで直列化しました。btintel_hw_error()はhci_req_sync_lock()を保持せずに2回の__hci_cmd_sync()呼び出し（HCI_OP_RESETとIntelの例外情報取得）を発行します。このため、同じロック下で__hci_cmd_sync()を実行するhci_dev_do_close()→btintel_shutdown_combined()と競合状態が発生します。両方のパスが同時にhdev-req_statusやreq_rspを操作すると、closeパスが最初にレスポンスskbを解放し、まだ実行中のhw_errorパスがkfree_skb()でスラブ使用後解放（use-after-free）エラーに遭遇しました。回復手順全体をhci_req_sync_lock/unlockでラップし、すべての同期HCIコマンド発行者と直列化されるように改善しました。以下はデータ競合およびkasanレポートの内容です。BUG: __hci_cmd_sync_sk / btintel_shutdown_combinedにおけるデータ競合が発生しました。net/bluetooth/hci_sync.cの199行でのhdev-req_rspの読み取り（kworker/u17:1/83による）とioctl/22580タスクによる書き込みおよび解放（drivers/bluetooth/btintel.cの3648行など）が競合していました。さらに、kasanによりslab-use-after-freeがnet/core/skbuff.cの1202行、sk_skb_reason_drop+0x43/0x380で検出され、アドレスffff888144a738dcのサイズ4の読み取りがkworker/u17:1/83タスクによって発生しました。

LinuxカーネルにおけるNETDEV_UP競合により、packet_release()内のfanoutでUse After Free（UAF）が発生する脆弱性が修正されました。

Linuxカーネルにおいて、以下の脆弱性が解決されました。media: mc、v4l2ではreq_queue_mutexを使用してREINITとREQBUFSの整列化を行います。MEDIA_REQUEST_IOC_REINITはVIDIOC_REQBUFS(0)のキュー破棄パスと同時に実行される可能性があります。これにより、リクエストオブジェクトのクリーンアップがvb2キューのキャンセルと競合し、use-after-freeの問題が発生することがあります。req_queue_mutexはすでにSTREAMON/OFFに対するリクエストキューイングで整列化に使用されています。この整列化をREQBUFSにまで拡張し、media_request_ioctl_reinit()でも同じミューテックスを取得してREINITを同じ排他領域に収めます。これにより、リクエスト対応デバイスのリクエストクリーンアップとキューキャンセルが並行して実行されることを防ぎます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。can: isotp: isotp_sendmsg()内のtx.bufの使用後解放の修正です。isotp_sendmsg()は、so-tx.bufへのアクセスを直列化するために、so-tx.stateに対してcmpxchg()のみを使用しています。isotp_release()はwait_event_interruptible()でISOTP_IDLEを待機し、その後kfree(so-tx.buf)を呼び出します。もしclose()内のwait_event_interruptible()がシグナルによって中断され、tx.stateがISOTP_SENDINGである場合、ループが早期に終了し、releaseは強制的にISOTP_SHUTDOWNへ進みます。sendmsgがまだisotp_fill_dataframe()で最終的なCANフレームのためにso-tx.bufを読み込んでいる最中にkfree(so-tx.buf)を続行してしまいます。so-tx.bufは、標準のtx.buf長を拡張する必要がある場合に1度だけ割り当てられます。この潜在的に拡張されたtx.bufのkfree()の呼び出しは、isotp_sendmsg()とisotp_release()のいずれも終了した時点のsk_destructのタイミングに移動されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。futex: sys_futex_requeue()が同一のフラグを持つことを要求します。Nicholasは、彼のLLMがsys_futex_requeue()が異なるフラグで使用された場合にUse-after-free（UaF）を引き起こす可能性があることを報告しました。異なるフラグを許容する初期の動機は可変サイズのfutexでしたが、それはまだマージされていないため、旧式のsys_futex()のrequeue操作と同様にフラグを同一にすることを単純に義務付けました。

Linuxカーネルのamdgpuドライバーにおいて、amdgpu_amdkfd_submit_ib関数内でフェンスの待機前に参照を解放してしまう問題がありました。この問題により、無効になったフェンスに対して待機を行うUse-After-Freeの脆弱性が発生する可能性がありました。この脆弱性は、フェンスの待機を先に行い、その後に参照を解放するように修正されました。

Linuxカーネルにおいて以下の脆弱性が修正されました。Bluetooth: MGMT: mgmt_add_adv_patterns_monitor_completeにおけるダングリングポインタの問題を修正しました。この修正では、statusが-ECANCELEDでない場合に常にmgmt_pending_validが実行されるように条件チェックを修正しています。そうしなければ、mgmt_pending_free(cmd)が呼ばれた際に、cmdがリストからunlinkされることなくkfreeされてしまい、ダングリングポインタが残る可能性がありました。その結果、リストの後続の走査（例えば__mgmt_power_off中のmgmt_pending_foreachや他のmgmt_pending_valid呼び出し時）において、解放済みメモリへのデリファレンスが発生してしまいます。

Linuxカーネルにおいて、driver coreのplatform部分で、driver_overrideインフラストラクチャの使用に起因する脆弱性が修正されました。この脆弱性は、__driver_attach()を介してドライバがプローブされる際に、busのmatch()コールバックがデバイスロックを保持せずに呼び出されることで、driver_overrideフィールドへのロックなしのアクセスがUse-After-Free（UAF）につながる可能性がある問題です。本脆弱性はdriver coreのdriver_overrideインフラストラクチャを修正することで解決されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cxl/portのcxl_detach_ep()におけるparent_portの使用後解放の問題を修正しました。cxl_detach_ep()は、スイッチポート配下のすべてのCXLメモリデバイスが削除された際にボトムアップ削除処理として呼び出されます。階層内の各ポートに対して、そのポートと親ポートの両方をロックし、エンドポイントを削除します。ポートが空になった場合は死んだ状態とマークし、delete_switch_port()を呼び出してポートの登録解除を行います。この処理中にparent_portが解放後に使用される可能性がある箇所が2つ存在します。1つ目は、同時にデタッチが進行している場合です。bus_find_device()で2番目の作業者がポートを見つけた時点で既にそのポートが処理済みの場合、parent_portをピン留めしていなければport-deadの検出および親ポートのロック解除を試みる際にすでに解放されている可能性があります。プロダクション環境のカーネルではこれは無音のメモリ破損となり、ロックデバッグ有効時には以下のように現れます。[]DEBUG_LOCKS_WARN_ON(__owner_task(owner) != get_current()) []WARNING: kernel/locking/mutex.c:949 at __mutex_unlock_slowpath+0x1ee/0x310 []Call Trace: []mutex_unlock+0xd/0x20 []cxl_detach_ep+0x180/0x400 [cxl_core] []devm_action_release+0x10/0x20 []devres_release_all+0xa8/0xe0 []device_unbind_cleanup+0xd/0xa0 []really_probe+0x1a6/0x3e0です。2つ目はdelete_switch_port()がparent_portに登録された3つのdevmアクションを解放するときです。その最後のアクションであるunregister_port()が子ポートに対してdevice_unregister()を呼び出し、それが連鎖的に発生する可能性があります。もしparent_portもこの時点で空であれば、デバイスコアがそれも登録解除・解放してしまいます。したがってdelete_switch_port()の戻り時点でparent_portが解放されており、その後のdevice_unlock(&parent_port-dev)が解放済みメモリに対して操作を行います。カーネルログは上述と同様ですが、cxl_detach_ep()内のオフセットが異なります。これら2つの問題は、子ポートと親ポート間のライフタイム保証が欠如していることに起因します。ポートのライフタイムルールを確立し、子ポートは解放されるまで親デバイスの参照を保持するようにしました。ポート割り当て時に参照を取り、解放時に参照を解放します。これにより親は子のライフタイム全体で有効であることが保証され、cxl_detach_ep()での使用後解放の問題を排除できます。この問題はCXLデバイスが存在するQEMU上でcxl_acpiのリロードを行うことで容易に再現できます。

LinuxカーネルにおけるCANサブシステムの脆弱性を修正する内容です。raw_rcv()関数内でro-uniqに対して解放後参照(use-after-free)が発生する問題がありました。raw_release()はraw CAN受信フィルタの登録解除を行いますが、削除処理が遅延されるため、ro-uniqが解放された後もraw_rcv()がそれにアクセスする可能性があります。この問題は、ro-uniqの解放をraw_release()から削除し、ソケットデストラクタ内で実施することで解決されます。これにより、関連するコールバックが終了するまでpercpuメモリが解放されず、安全性が確保されます。