JVNDB-2026-022874

LinuxのLinux Kernelにおける再帰制御に関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilter: nft_ctにおけるget evalでのテンプレートctのバッファオーバーフローです。この問題は過去のsyzbotレポート[1]を確認している際に発見しました。以下のようなルールがあれば、このバグを引き起こすことができます： table ip t { chain pre { type filter hook prerouting priority raw; ct zone set 1 ct original saddr 1.2.3.4 accept } }最初の式はnft_ct_set_zone_eval()（nf_ct_tmpl_alloc -＞ kzalloc、タプルはすべてゼロクリア、nf_ct_l3num(ct) == 0）を介してCPUごとのテンプレートctを接続します。次の式は同じskbに対してnft_ct_get_eval()を呼び出し、テンプレートを実際のctとして扱い、16バイトのmemcpyパスに到達します。NFT_REG32_15のdregを使用すると、カーネルスタック上のstruct nft_regsを越えてオーバーフローします。より小さいdreg値では、隣接するレジスタを静かに上書きしてしまいます。evalエントリおよびnft_ct_get_fast_eval()でテンプレートctを拒否し、nft_ct_set_eval()にすでにあるチェックを鏡のように実装しました。加えて、NFT_CT_SRC / NFT_CT_DSTのアドレスコピーをnf_ct_l3num(ct)ではなくpriv-＞lenで制限します。nf_ct_get_tuple()はpkt_to_tuple()がプロトコル関連の先頭バイトのみを埋める前にタプルをゼロクリアするため、tuple-＞{src,dst}.u3.allの後続バイトは良く定義されたゼロです。priv-＞lenはルールロード時に検証されるため、コピーサイズは接続追跡の未検証フィールドではなく宛先レジスタによって制限されます。[1]: https://syzkaller.appspot.com/bug?id=389cf09cb72926114fce90dc85a2c3231dcb647c

Linux

• Linux Kernel 4.1 以上 6.6.143 未満
• Linux Kernel 6.13 以上 6.18.36 未満
• Linux Kernel 6.19 以上 7.0.13 未満
• Linux Kernel 6.7 以上 6.12.94 未満
• Linux Kernel 7.1

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不適切な再帰制御(CWE-674) [NVD評価]

1. CVE-2026-53267

1. National Vulnerability Database (NVD) : CVE-2026-53267
2. 関連文書 : netfilter: nft_ct: bail out on template ct in get eval - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/3027ecbdb5fdf9200251c21d4818e4c447ef78e1)
3. 関連文書 : netfilter: nft_ct: bail out on template ct in get eval - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/f071b0bf078146368d18e4eec386bf2ddc0ab7e0)
4. 関連文書 : netfilter: nft_ct: bail out on template ct in get eval - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/8470f676eadeab99132708acb1a85915664d6115)
5. 関連文書 : netfilter: nft_ct: bail out on template ct in get eval - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/af80f78ce984649e1698b841cd33f4fa505ad828)
6. 関連文書 : netfilter: nft_ct: bail out on template ct in get eval - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/2e154b5f53f1b0b490c7b8b02499f90feb86b1d5)

• [2026年07月09日]
    掲載