JVNDB-2026-005663

LinuxのLinux Kernelにおける不特定の脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilter: nf_tablesでは、可能な場合にチェーンの再検証を回避する改善を行いました。Hamza Mahfooz氏はnft_chain_validate()におけるCPUソフトロックアップを報告しました。watchdogにて、「BUG: soft lockup - CPU#1が27秒間停止！[iptables-nft-re:37547]」という現象が発生しました。具体的なスタックトレースは以下の通りです：RIP: 0010:nft_chain_validate+0xcb/0x110 [nf_tables]、nft_immediate_validate+0x36/0x50 [nf_tables]などが繰り返されました。現在、nf_tablesはエントリポイント（ベースチェーン）から開始してチェーン全体（チェーングラフ）を走査し、すべての可能なパス（チェーンジャンプ）を探索しています。しかし、再検証を回避できるケースがあります。例を挙げると以下の通りです。1. input - j2 - j3、2. input - j2 - j3、3. input - j1 - j2 - j3。この場合、2番目のルールはすでに1番目のルールの検証でj2を検証済みのため、j2および派生するj3の再検証は不要です。再検証は3番目のルールのためのみ必要となります。これは、チェーンループ検出がジャンプスタックの制限超過を防止するためでもあります。j2がサイクルフリーであることがわかっていても、その最後のジャンプが許容スタックサイズを超える可能性があり、すべての到達可能なチェーンの最大呼び出し深度を更新する必要があります。チェーンの深さに問題がない場合でも再検証を行う必要があります。チェーン検証は、無効なベースチェーンから式が呼び出されないことを保証するためです。例えば、masquerade式はNATのポストルーティングベースチェーンからのみ呼び出せます。したがって、ベースチェーンのコンテキスト（タイプ、hooknum）を記録し、チェーンが異なるフック位置から到達可能になった場合には再検証を実施しなければなりません。

Linux

• Linux Kernel 4.18 以上 6.6.121 未満
• Linux Kernel 6.13 以上 6.18.6 未満
• Linux Kernel 6.7 以上 6.12.66 未満
• Linux Kernel 6.19

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2025-71160

1. National Vulnerability Database (NVD) : CVE-2025-71160
2. 関連文書 : netfilter: nf_tables: avoid chain re-validation if possible - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/14fa3d1927f1382f86e3f70a51f26005c8e3cff6)
3. 関連文書 : netfilter: nf_tables: avoid chain re-validation if possible - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/53de1e6cde8f9b791d9cf61aa0e7b02cf5bbe8b1)
4. 関連文書 : netfilter: nf_tables: avoid chain re-validation if possible - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/8e1a1bc4f5a42747c08130b8242ebebd1210b32f)
5. 関連文書 : netfilter: nf_tables: avoid chain re-validation if possible - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/09d6074995c186e449979fe6c1b0f1a69cf9bd3b)

• [2026年03月02日]
    掲載