JVNDB-2026-032047

LinuxのLinux Kernelにおける境界外読み取りに関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。nvmetのDiscovery Get Log Pageにおける認証前のヒープ外読み取りの問題です。nvmet_execute_disc_get_log_page()関数は、ホストから提供されたログページオフセット（lpo）がdワードアライメントされているかのみを検証しています。64ビットのオフセットは、発見用ログページを保持する小さなkzallocで確保されたバッファに加算され、その結果が直接nvmet_copy_to_sgl()に渡されます。nvmet_copy_to_sgl()はソース側の境界チェックを行わずに、data_lenバイトをホスト側にmemcpy()します。 u64 offset = nvmet_get_log_page_offset(req-＞cmd); /* 64ビットホスト */ size_t data_len = nvmet_get_log_page_len(req-＞cmd); /* 32ビットホスト */ ... if (offset & 0x3) { ... } /* 唯一のチェック */ ... alloc_len = sizeof(*hdr) + entry_size * discovery_log_entries(req); buffer = kzalloc(alloc_len, GFP_KERNEL); ... status = nvmet_copy_to_sgl(req, 0, buffer + offset, data_len);Discoveryコントローラーは認証されておらず、nvmet_host_allowed()はdiscoveryサブシステムに対して無条件にtrueを返すため、この呼び出しは認証前にTCP/RDMA/FCの任意のピアからnvmetターゲットへ到達可能です。約1KiBの発見ログページで、オフセットがalloc_lenと等しい最大4KiBまでの要求を行う攻撃者は、次のスラブページを読み取り、その内容をファブリック経由で受け取ることができます（nvmet-tcpループバックターゲットの実測では、1回のGet Log Pageレスポンスで81個の標準的なカーネルポインタが漏洩しました）。オフセットがマッピングされていないカーネルメモリを指す場合、カーネル内memcpyがフォルトし、ターゲットホストはクラッシュするか、panic_on_oops=1設定時にはパニックを起こします。攻撃者制御のソース側オフセットパターン「nvmet_copy_to_sgl(req, 0, buffer + ATTACKER_OFFSET, ...)」は、nvmetコードベース全体でnvmet_execute_disc_get_log_pageに特有のものです。admin-cmd.c内の他のすべてのGet Log Pageハンドラはlpoを無視するか（応答は常にオフセット0から開始）、固定ソースポインタによりローカルな宛先オフセットを追跡しています。ホストから提供されるオフセットをログページサイズに対して検証し、コピー長を実際に存在する範囲に制限し、ホスト転送バッファの残りをゼロで埋める処理が行われています。このゼロ埋めは、admin-cmd.c内のnvmet_execute_get_log_changed_ns()における既存の短いレスポンスパターンと一致しており、ホストがログページの実際のサイズ以上のバイト数を要求した場合にトランスポートSGリストの内容が漏洩するのを防いでいます。

Linux

• Linux Kernel 4.8 以上 6.12.96 未満
• Linux Kernel 6.13 以上 6.18.39 未満
• Linux Kernel 6.19 以上 7.1.4 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 境界外読み取り(CWE-125) [NVD評価]

1. CVE-2026-64320

1. National Vulnerability Database (NVD) : CVE-2026-64320
2. 関連文書 : nvmet: fix pre-auth out-of-bounds heap read in Discovery Get Log Page - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/53cd102a7a56079b11b897835bd9b94c14e6322c)
3. 関連文書 : nvmet: fix pre-auth out-of-bounds heap read in Discovery Get Log Page - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/56c021a0869260d04c4b65d1471936aaf9177114)
4. 関連文書 : nvmet: fix pre-auth out-of-bounds heap read in Discovery Get Log Page - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/a29b316b9bbfd269f323ab4ba9906a894025680f)
5. 関連文書 : nvmet: fix pre-auth out-of-bounds heap read in Discovery Get Log Page - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/33b974eb626154ae9348f2bac7de84cb2a3d9dd4)

• [2026年09月04日]
    掲載