Заголовок
В ядре Linux устранена уязвимость вида use-after-free в функции kill_rules() подсистемы audit. Проблема позволяет вызвать обращение к освобождённой памяти при удалении наблюдаемого каталога с активными правилами AUDIT_EXE/AUDIT_DIR. Требует привилегий CAP_AUDIT_CONTROL, но способна привести к краху ядра (KASAN: slab-use-after-free).
Подробности
Уязвимость затрагивает ядро Linux (CVE-2026-98862). Ошибка находится в функции kill_rules(), которая удаляет смешанные правила AUDIT_DIR и AUDIT_EXE при очистке (pruning) дерева аудита. Функция освобождала entry->rule.exe до того, как правило удалялось из видимых через RCU списков фильтров. После установки правила через AUDIT_ADD_RULE (требуется привилегия CAP_AUDIT_CONTROL) удаление наблюдаемого каталога может идти параллельно с задачей, которая всё ещё вычисляет это правило. В таком случае fsnotify освобождает метку исполняемого файла раньше, чем читатель доходит до audit_mark_compare(), что приводит к use-after-free. KASAN фиксирует: BUG: KASAN: slab-use-after-free in audit_mark_compare+0x8d/0xa0 Исправление меняет порядок операций: опубликованные правила сначала удаляются из видимых через RCU списков и сохраняются в tree->rules для последующей очистки. Если у какого-либо правила есть метка исполняемого файла, код дожидается одного grace period RCU, прежде чем снимать метки и планировать освобождение записей. В противном случае call_rcu() уже обеспечивает необходимое отложенное освобождение без синхронного ожидания. CVSS-оценка в записи CVE не указана. Эксплуатация требует привилегий CAP_AUDIT_CONTROL, что ограничивает круг потенциальных атакующих, однако последствия включают нарушение целостности памяти ядра и отказ в обслуживании.Что делать
- Обновите ядро Linux до версии, содержащей исправление для CVE-2026-98862. Приоритет — системы, где аудит используется для наблюдения за каталогами и исполняемыми файлами. - Если немедленное обновление невозможно, ограничьте выдачу привилегии CAP_AUDIT_CONTROL доверенным процессам и избегайте смешанных правил AUDIT_DIR/AUDIT_EXE на критичных системах. - Отслеживайте стабильность систем с интенсивной ротацией/удалением наблюдаемых каталогов: сообщения KASAN о slab-use-after-free в audit_mark_compare() являются признаком эксплуатации уязвимости. Итог: CVE-2026-98862 — локальная уязвимость с требованием привилегий, но с потенциально серьёзными последствиями для ядра. Единственная надёжная мера — установка обновления ядра; митигации носят временный характер.Источник: CVE Project (cvelistV5)