JVNDB-2026-021359 | |
LinuxのLinux Kernelにおける不特定の脆弱性 | |
| 概要 | |
Linuxカーネルにおいて、以下の脆弱性が修正されました。この脆弱性は、net: skbuffのフラグメント転送ヘルパーを通じて共有フラグメントマーカーが正しく伝播されない問題に起因します。2つのフラグメント転送ヘルパー（__pskb_copy_fclone() と skb_shift()）は、フラグメントをソースから宛先に移動するときに skb_shinfo()-flags の SKBFL_SHARED_FRAG ビットを伝播しません。__pskb_copy_fclone() はフラグメント記述子のコピー後に残りの shinfo メタデータを skb_copy_header() に委ねますが、このヘルパーは gso_{size,segs,type} のみを引き継ぎ、skb_shinfo()-flags に触れません。skb_shift() はフラグメント記述子を直接移動し、flags はそのままにします。その結果、宛先の skb は同じ外部所有またはページキャッシュ対応ページへの参照を維持しつつ、skb_has_shared_frag() が false を返します。この不整合は、skb_has_shared_frag() を使って共有ページを skb_cow_data() 経由で迂回する必要があるかを判断するインプレースライターにとって有害です。ESP入力（esp4.c, esp6.c）はそのようなライターの一例であり、単一の nft 'dup to local' ルールやその他の nf_dup_ipv4() / xt_TEE 呼び出しで pskb_copy() された skb が esp_input() にてマーカーを剥奪された状態で渡ると、権限のないユーザーが authencesn-ESN の逸脱書き込みを介してルート所有の読み取り専用ファイルのページキャッシュに書き込むことが可能になります。フラグメント記述子が実際にソースから移動された場合は、宛先の skb に SKBFL_SHARED_FRAG を設定します。skb_copy() と skb_copy_expand() も skb_copy_header() を共有しますが、すべてのページデータを新たに割り当てられたヘッドストレージに線形化し、nr_frags == 0 となるため、skb_has_shared_frag() は自動的に false を返しており、変更は不要です。同様の欠落は skb_gro_receive() と skb_gro_receive_list() にも存在します。前者は直接のフラグメント移動ループおよび head_frag + memcpy 経路の2つで受信skbのフラグメント記述子をアキュムレーターの最後のサブskbに移動し、後者は受信skbを p の frag_list に連結します。下流の skb_segment() は skb_shinfo(p)-flags のみを読み取り、skb_segment_list() は各サブskbの shinfo を nskb として再利用するため、p と lp は両方マーカーを持つ必要があります。同様の欠落は tcp_clone_payload() にも存在します。これは sk_write_queue 上の skb からフラグメント記述子を移動して新たに割り当てられた nskb で MTU プローブ skb を構築します。このヘルパーは同じタイプに属しており、一貫性のため同じ修正が必要です。現在のところ、このギャップを介してユーザーページに到達する TCP TX 側のインプレースライターは知られていませんが、将来マーカーに依存する利用者が silently 後退する可能性があります。同様の欠落は skb_segment() にもあります。反復ごとのフラグマージは head_skb のフラグのみを取得し、head_skb のフラグメント枯渇時に frag_skb を list_skb に再バインドする内部のスイッチは新しい frag_skb のフラグを nskb に反映しません。両方の箇所で frag_skb のフラグを反映させ、frag_list メンバーからフラグメントを取り出すセグメントがマーカーを保持するように修正しました。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 8.8 (重要) [その他]
| |
| 影響を受けるシステム | |
|
| |
Linux | |
|
| |
| 想定される影響 | |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 | |
| 対策 | |
リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
|
| |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/05/23 |
| 登録日 | 2026/06/29 |
| 最終更新日 | 2026/06/29 |
