Уязвимость в ядре Linux: cgroup может обратиться к освобождённой задаче (CVE-2026-98163)
В ядре Linux устранена уязвимость в подсистеме cgroup, связанная с гонкой при итерации по списку завершающихся задач (dying_tasks). Проблема затрагивает все актуальные версии ядра и может привести к использованию памяти после её освобождения (use-after-free). Патч уже доступен в основном репозитории ядра, рекомендуется обновление.
Подробности
Уязвимость затрагивает подсистему cgroup ядра Linux (продукт: Linux). Проблема была внесена коммитом 260fbcb92bbea («cgroup: Move dying_tasks cleanup from cgroup_task_release() to cgroup_task_free()»), который продлил время нахождения задач в списке dying_tasks. После вызова cgroup_task_release() и до cgroup_task_free() задача может иметь счётчик ссылок ->usage, равный нулю. Итераторы (например, при чтении /proc/Что делать
Основная рекомендация — обновить ядро Linux до версии, содержащей исправление. Патч распространяется через стандартный процесс сопровождения стабильных веток ядра; проверьте наличие исправления в вашей дистрибутивной сборке (RHEL, Ubuntu, Debian, SUSE и др.) и установите актуальные обновления безопасности. До применения обновления можно рассмотреть временные меры снижения риска: ограничение доступа непривилегированных пользователей к чтению cgroup-файлов (cgroup.procs, cgroup.threads), а также минимизация частых операций обхода cgroup в высоконагруженных средах. Однако такие митигации носят частичный характер и не заменяют установку патча. Для контейнерных платформ (Docker, Kubernetes, LXC) рекомендуется обновление ядра хост-систем в приоритетном порядке. Итог: CVE-2026-98163 — серьёзная гонка в ядре Linux, способная привести к use-after-free в подсистеме cgroup. Исправление доступно, и его установка является основным способом защиты. Администраторам Linux-систем и операторам контейнерных инфраструктур следует как можно скорее применить обновления ядра.Источник: CVE Project (cvelistV5)