JVNDB-2026-028238

LinuxのLinux Kernelにおける不特定の脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。RDMA/rtrs-srv: rdma_write_sg内でのRDMA-Writeの長さをチャンクサイズに制限しました。サーバーがRTRS READに応答する際、rdma_write_sg()はIB_WR_RDMA_WRITEの送信元スキャッター/ギャザーエントリを構築します。この長さはワイヤーディスクリプタから直接取得されます。plist-＞length = le32_to_cpu(id-＞rd_msg-＞desc[0].len)です。rd_msgはリモートピアがRDMA-WRITE-WITH-IMMを介して書き込んだチャンクバッファを指しており（rtrs_srv_rdma_done() -＞ process_io_req() -＞ process_read()）、desc[0].lenは攻撃者が制御可能な値でした。この値は本変更以前はゼロの場合にのみ拒否されていました。送信元アドレスは固定のチャンク開始位置（dma_addr[msg_id]）であり、送信元のlkeyはチャンクのMRマッピングに結びついていないPD全体のlocal_dma_lkeyです。そのため、verbsレイヤーは転送長をmax_chunk_sizeに制限しません。msg_id及びoffはrtrs_srv_rdma_done()内でqueue_depthおよびmax_chunk_sizeにより制限されていますが、desc[0].lenは別のフィールドであり、チャンクサイズと照合されていませんでした。desc[0].lenがmax_chunk_sizeを超えていると広告するピアは、投稿されたRDMA書き込みがチャンクのマップ領域を超えて読み取らせることが可能になります。結果としての挙動はIOMMU設定に依存します。IOMMUが無効またはパススルーモードの場合、読み取りはチャンク隣接のメモリにまで及び、ピアに返されてホストメモリが露出する可能性があります。翻訳型IOMMUの場合、範囲外アクセスはフォールトを発生させ、コネクションを中断させることが期待されます。いずれの場合も、転送はプロトコルで許容される範囲を超えており、リモートピアによって引き起こされます。rtrs_srv_rdma_done()内の既存のoff ＞= max_chunk_sizeの境界チェックに倣い、ディスクリプタ長がmax_chunk_sizeを超える場合は拒否します。正当なクライアントはこれを超えません。クライアントはdesc[0].lenを自身のMR長にセットしますが、これは交渉済みのmax_io_size（max_chunk_size - MAX_HDR_SIZE）で上限設定されています。

Linux

• Linux Kernel 5.16 以上 6.1.178 未満
• Linux Kernel 5.8 以上 5.15.212 未満
• Linux Kernel 6.13 以上 6.18.39 未満
• Linux Kernel 6.19 以上 7.1.4 未満
• Linux Kernel 6.2 以上 6.6.145 未満
• Linux Kernel 6.7 以上 6.12.96 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-64269

1. National Vulnerability Database (NVD) : CVE-2026-64269
2. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/5a45d0aa1fa50a333ce5763ade744e2d89838667)
3. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/6f40246f4312fdbab5a13cc440adebf95eb2aa66)
4. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/68c09762172f6224e9ddf9b0a60bacbb36e443eb)
5. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/6cada540150894e81042a0ae0c796a21a9a877da)
6. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/2912f3d40355dabc08fdbaaf2764d02445fe88dc)
7. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/963af8d97a8c6a117134a8d0db1415e0489200b1)
8. 関連文書 : RDMA/rtrs-srv: Bound RDMA-Write length to chunk size in rdma_write_sg - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/da3e44add94b05dfde56f898421922f5cf35705f)

• [2026年08月17日]
    掲載