JVNDB-2026-024003

LinuxのLinux Kernelにおける不特定の脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/rdsに関し、訪問者に渡す前にアイテムごとの情報バッファをゼロクリアする必要がありました。rds_for_each_conn_info()とrds_walk_conn_path_info()はどちらも、呼び出し元がスタック上に確保したu64バッファを接続ごとのビジターに渡し、その後ビジターが実際に書き込んだ量に関係なく、rds_info_copy()を通じてitem_len全体のバイト数をユーザ空間にコピーしていました。rds_ib_conn_info_visitor()とrds6_ib_conn_info_visitor()は、基になるrds_connectionがRDS_CONN_UP状態でない場合、出力構造体の一部のみを書き込みます（ソース/宛先アドレス、tos、sl、および2つのGIDは明示的なmemsetでゼロクリアされています）。しかし、いくつかのu32フィールド（max_send_wr、max_recv_wr、max_send_sge、rdma_mr_max、rdma_mr_size、cache_allocs）とslとcache_allocs間の2バイトのアラインメントパディングには、訪問者呼び出し前のスタック内容が残り、それがmemcpy_to_user()でユーザ空間にコピーされてしまっていました。struct rds_info_rdma_connectionおよびstruct rds6_info_rdma_connectionは、include/uapi/linux/rds.h内のrds_info_*構造体の中で唯一__attribute__((packed))が付いておらず、真のアラインメントホールが存在していました。その他の情報用ビジター（rds_conn_info_visitor、rds6_conn_info_visitor、rds_tcp_tc_infoなど）は現在、その出力構造体の全フィールドを書き込みます。本脆弱性はそれらには知られていませんが、将来的に条件付き書き込みパスを追加したビジターは同様のバグを持つ恐れがあります。CONFIG_INIT_STACK_ALL_ZERO=y無しでビルドしたカーネルでの再現手順は次のとおりです。ローカルの権限のないユーザーがAF_RDSソケットを開き、SO_RDS_TRANSPORTをIBに設定し、RDMA対応のネットデバイス（rxeのsoft-RoCEで十分）上のローカルアドレスにバインドし、同サブネット内の任意のピアにsendto()を送信します（失敗しますがRDS_CONN_CONNECTING状態のrds_connectionがグローバルハッシュに登録されます）。そしてgetsockopt(SOL_RDS, RDS_INFO_IB_CONNECTIONS)を呼び出すと、返される68バイトのアイテムに26バイトのスタック上のゴミ（カーネルのテキスト/データポインタを含む）が含まれることがありました。修正として、rds_for_each_conn_info()およびrds_walk_conn_path_info()の両方で、ビジター呼び出し前にアイテムバッファをゼロクリアする対応を行いました。これによりIPv4/IPv6のIBビジターをカバーし、現在および将来のすべてのビジターに対して同種のバグから防御を強化しています。出力を完全に埋めるビジターには機能上の変更はありません。v2での変更点は以下のとおりです。- netツリー向けにターゲットが変更されました（件名プレフィックス「[PATCH net v2]」、net/rds：タイトルにプレフィックス追加）。- Sharath Srinivasan氏およびAllison Henderson氏からのReviewed-byタグを追加しました。

Linux

• Linux Kernel 2.6.30 以上 5.10.258 未満
• Linux Kernel 5.11 以上 5.15.209 未満
• Linux Kernel 5.16 以上 6.1.175 未満
• Linux Kernel 6.13 以上 6.18.33 未満
• Linux Kernel 6.19 以上 7.0.10 未満
• Linux Kernel 6.2 以上 6.6.141 未満
• Linux Kernel 6.7 以上 6.12.91 未満

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-52995

1. National Vulnerability Database (NVD) : CVE-2026-52995
2. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/c88eb7e8d8397a8c1db59c425332c5a30b2a1682)
3. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/5e67cc262afb384e835c3327e9d954eeaedc6a87)
4. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/91ce1bb6e4194dc2321748f68145359dcf86e350)
5. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/81651e9d7dea1c048d2952f57632a042931d7b43)
6. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/912ba2e5704fdb8bc5decda96dfc1a57838f0099)
7. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/0797b2e6901827694aa9c34c4c72118c8c97fba1)
8. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/b6ba93a7b71ed443c9843eb12d27ed86f1e52694)
9. 関連文書 : net/rds: zero per-item info buffer before handing it to visitors - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/c7cb9eed8215a790f052f49cdccf577720d2bb62)

• [2026年07月17日]
    掲載