JVNDB-2026-022328 | |
LinuxのLinux Kernelにおける不特定の脆弱性 | |
| 概要 | |
Linuxカーネルにおいて、以下の脆弱性が修正されました:net: タイムスタンプ cmsg を実際のエラーキュー skb に限定するガードskb_is_err_queue() は、sk_error_queue からの skb の唯一のマーカーとして PACKET_OUTGOING を扱っています。この前提は AF_PACKET ソケットには当てはまりません。送信パケットのタップも skb->pkt_type == PACKET_OUTGOING の状態でパケットソケットに配送されますが、それらの skb->cb は struct sock_exterr_skb ではなく AF_PACKET によって管理されています。そのような skb がタイムスタンプ機能を有効にした状態で受信されると、汎用のタイムスタンプ cmsg 処理経路が、AF_PACKET のコントロールバッファの状態を sock_exterr_skb::opt_stats として読み取ってしまう可能性があります。SO_RXQ_OVFL を有効にすると、パケットドロップカウンタが opt_stats とオーバーラップします。ドロップ数が奇数の場合、その経路は skb->len と skb->data を伴って SCM_TIMESTAMPING_OPT_STATS を生成します。非線形 skb の場合、これは線形ヘッドを越えてコピーしてしまい、強化された usercopy をトリガーするか、隣接するヒープ内容を漏えいさせる可能性があります。skb_is_err_queue() は net/socket.c 内のローカルのままとしつつ、PACKET_OUTGOING マーカーが sock_queue_err_skb() によって設定される sock_rmem_free デストラクタと対になっていることを検証するようにします。AF_PACKET 受信 skb は通常の受信所有権を使用し、もはやエラーキュー skb として通過しません。一方で、正当な sk_error_queue のエントリは PACKET_OUTGOING マーカーと sock_rmem_free の所有権を保持します。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 7.1 (重要) [その他]
| |
| 影響を受けるシステム | |
|
| |
Linux | |
|
| |
| 想定される影響 | |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 | |
| 対策 | |
リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
|
| |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/06/25 |
| 登録日 | 2026/07/06 |
| 最終更新日 | 2026/07/06 |
