JVNDB-2026-022343 | |
LinuxのLinux Kernelにおける不特定の脆弱性 | |
| 概要 | |
Linuxカーネルにおいて、次の脆弱性が修正されました:Bluetooth: L2CAP: MTUsig を超える BR/EDR シグナリングパケットを拒否net/bluetooth/l2cap_core.c:l2cap_sig_channel() は、チャネル MTU までの BR/EDR シグナリングパケットを受け入れ、シグナリング MTU（MTUsig）を強制せずに各コマンドをディスパッチしていました。無線圏内の Bluetooth BR/EDR ピアは、ペアリング前でも、MTUsig を超えるサイズで多数の L2CAP_ECHO_REQ コマンドを詰め込んだ固定チャネル CID 0x0001 のパケットを送信できます。実際の無線環境で標準カーネルを用いた実行では、ゼロ長の ECHO_REQ を 168 個含む 681 バイトのシグナリングパケット 1 個で、約 220 ms の間に対象に 168 個の ECHO_RSP フレームを送信させることができました。影響: 無線圏内の Bluetooth BR/EDR ピアは、ペアリング前でも、ECHO_REQ コマンドを詰め込んだ 681 バイトの固定チャネル・シグナリングパケット 1 個だけで、168 個の ECHO_RSP フレームを強制的に送信させることができます。Linux の BR/EDR シグナリング MTU を仕様最小値の 48 バイトと定義し、いかなるコマンドもディスパッチする前に、L2CAP_REJ_MTU_EXCEEDED を含む L2CAP_COMMAND_REJECT_RSP を 1 件返して、それより大きいシグナリングパケットを拒否します。Bluetooth Core 仕様の MTUExceeded の記述では、拒否の識別子はパケット内の最初の要求コマンドに一致しなければならず、応答のみを含むパケットは黙って破棄するとされています。Linux は意図的にこの規定から逸脱します。黙って破棄すると、リモートスタックは自分の応答が破棄されたことを知り得ず、ピア間の同期が崩れるためです。また、最初の要求コマンドを見つけるには MTUsig を超えてコマンドヘッダをたどる必要があり、すなわち処理対象外と判断した過大パケットのバイトを処理することになります。したがって、常に拒否を 1 件送出し、最初のコマンドヘッダから識別子を用います。これは固定オフセットの 1 バイト読み出しで済みます。制限のない BR/EDR シグナリングパーサと ECHO_REQ 応答経路はいずれも Git の初期取り込みに遡り、Fixes タグに用いるべき導入コミットは存在しません。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 5.5 (警告) [NVD値]
| |
| 影響を受けるシステム | |
|
| |
Linux | |
|
| |
| 想定される影響 | |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 | |
| 対策 | |
リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
|
| |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/06/25 |
| 登録日 | 2026/07/06 |
| 最終更新日 | 2026/07/06 |
