JVNDB-2026-023070

LinuxのLinux KernelにおけるNULL ポインタデリファレンスに関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: bpf_sk_storage_cloneおよびdiagパスでのNULLポインタ逆参照の問題を修正しました。bpf_selem_unlink_nofail()は、ストレージのhlistからselemを削除する前に、SDATA(selem)-＞smapをNULLに設定します。しかし、bpf_sk_storage_clone()内の同時実行中のRCUリーダーは、すでにsmapがNULLであるにも関わらず、selemがリスト上に残っているのを観測し、NULLポインタ逆参照を引き起こす可能性がありました。一般保護違反が発生し、恐らく非正規アドレス0xdffffc000000000aの場合に以下のようなエラーが出力されます：KASAN: null-ptr-deref 範囲 [0x0000000000000050-0x0000000000000057] RIP: 0010:bpf_sk_storage_clone+0x1cd/0xaa0 net/core/bpf_sk_storage.c:174 呼び出しトレース: ＜IRQ＞ sk_clone+0xfed/0x1980 net/core/sock.c:2591 inet_csk_clone_lock+0x30/0x760 net/ipv4/inet_connection_sock.c:1222 tcp_create_openreq_child+0x35/0x2680 net/ipv4/tcp_minisocks.c:571 tcp_v4_syn_recv_sock+0x123/0xf90 net/ipv4/tcp_ipv4.c:1729 tcp_check_req+0x8e1/0x2580 include/net/tcp.h:855 tcp_v4_rcv+0x1845/0x3b80 net/ipv4/tcp_ipv4.c:2347。bpf_sk_storage_clone()内でsmapに対するNULLチェックを追加しました。また、bpf_sk_storage_diag_put_all()も同様の問題があったため、NULLチェックを追加し、検証済みのsmapをdiag_get()に直接渡すようにしました。diag_get()は内部でsmapを読み取るのではなく、パラメータとしてsmapを受け取るようにリファクタリングされています。bpf_sk_storage_diag_put()は常に有効なrefcountの下でdiag-＞maps[i]を使用しているため、diag-＞maps[i]は直接diag_get()に渡されます。

Linux

• Linux Kernel 7.0 以上 7.0.14 未満
• Linux Kernel 7.1

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. NULL ポインタデリファレンス(CWE-476) [NVD評価]

1. CVE-2026-52938

1. National Vulnerability Database (NVD) : CVE-2026-52938
2. 関連文書 : bpf: Fix NULL pointer dereference in bpf_sk_storage_clone and diag paths - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/375e4e33c18dfa05c5dfd5f3dfffeb29343dd4c7)
3. 関連文書 : bpf: Fix NULL pointer dereference in bpf_sk_storage_clone and diag paths - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/16af24fea29c209dea53595c99f6da9398548e1b)

• [2026年07月10日]
    掲載