JVNDB-2026-023049 | |
LinuxのLinux Kernelにおける境界外読み取りに関する脆弱性 | |
| 概要 | |
Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetooth: bnepでは、パース前に短すぎるフレームを拒否するにもかかわらず、BNEPピアが短いBNEP SDUを送信可能でした。bnep_rx_frame()はパケットタイプのバイトを即座に読み取り、制御パケットの場合には制御オペコードとUUIDサイズのバイトを、それらのバイトが存在することを確認する前に読み取っていました。bnep_rx_control()も空の制御ペイロードを拒否せずに制御オペコードをデリファレンスしていました。bnep_rx_frame()内の固定フィールドにはskb_pull_data()を使用することで、NULLが返された場合のそれぞれのデリファレンスを防いでいます。コントロールハンドラは、既にpullされたオペコードをフレームパスが渡せるように分割し、拡張制御ペイロード用のバイトバッファラッパーは維持しています。BNEP_SETUP_CONN_REQに対しては、setupペイロードをpullする前にUUIDサイズのバイトに名前を付けています。struct bnep_setup_conn_reqはそのバイトの後ろに宛先および送信元サービスUUID（それぞれuuid_sizeバイト分）を保持するため、パーサはこのタプルを明示的に文書化し、pull長を不透明な乗算として扱うことをやめています。検証は以下のカーネルレポートで再現されました。KASAN slab-out-of-bounds in bnep_rx_frame.isra.0+0x130c/0x1790。バグのあるアドレスはffff88800c0f7908のオブジェクトに属し、サイズ8のkmalloc-8キャッシュに属します。バグのあるアドレスは割り当てられた1バイト領域[ffff88800c0f7908, ffff88800c0f7909)の右端から0バイト分外側に位置しています。1バイトの読み取り呼び出しトレースは以下の通りです。dump_stack_lvl+0xb3/0x140 (?:?)、print_address_description+0x57/0x3a0 (?:?)、bnep_rx_frame+0x130c/0x1790 (net/bluetooth/bnep/core.c:306)、print_report+0xb9/0x2b0 (?:?)、__virt_addr_valid+0x1ba/0x3a0 (?:?)、srso_alias_return_thunk+0x5/0xfbef5 (?:?)、kasan_addr_to_slab+0x21/0x60 (?:?)、kasan_report+0xe0/0x110 (?:?)、process_one_work+0xfce/0x17e0 (kernel/workqueue.c:3200)、worker_thread+0x65c/0xe40 (?:?)、__kthread_parkme+0x184/0x230 (?:?)、kthread+0x35e/0x470 (?:?)、_raw_spin_unlock_irq+0x28/0x50 (?:?)、ret_from_fork+0x586/0x870 (?:?)、__switch_to+0x74f/0xdc0 (?:?)、ret_from_fork_asm+0x1a/0x30 (?:?)。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 7.1 (重要) [その他]
| |
| 影響を受けるシステム | |
|
| |
Linux | |
|
| |
| 想定される影響 | |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 | |
| 対策 | |
リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
|
| |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/06/25 |
| 登録日 | 2026/07/10 |
| 最終更新日 | 2026/07/10 |
