CVE-2026-64007 in Linux
要約
〜によって VulDB • 2026年07月20日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
netfilter: synproxy: skb_ensure_writable 呼び出し後に tcphdr を更新する
synproxy_tstamp_adjust() は TCP タイムスタンプオプションをその場で書き換えた後、呼び出し元から渡された tcphdr ポインタに対して inet_proto_csum_replace4() で TCP チェックサムを更新します。ipv4_synproxy_hook() と ipv6_synproxy_hook() の両方で、このポインタは関数呼び出し前に skb_header_pointer() を用いて取得されるため、これは直接 skb->head へのエイリアスになっているか、または呼び出し元のスタック上の _tcph バッファを指しています。
ポインタの取得から使用までの間に、関数は skb_ensure_writable(skb, optend) を呼び出します。この処理はクローン化されたskbや非線形（non-linear）なskbの場合に pskb_expand_head() を実行し、古い skb->head を解放します。その後、キャッシュされた th は古くなります：
呼び出し元 (ipv[46]_synproxy_hook)
th = skb_header_pointer(skb, ..., &_tcph) synproxy_tstamp_adjust(skb, protoff, th, ...) skb_ensure_writable(skb, optend) pskb_expand_head() /* kfree(old skb->head) */ ... inet_proto_csum_replace4(&th->check, ...) /* 解放されたスラブメモリへの書き込み、または 呼び出し元のスタックコピーへの書き込みにより、 ネットワーク上のチェックサムが古くなる */
オプションバイトは skb->data を通じて書き込まれており問題ありません。問題はチェックサムの更新のみで、これは th を経由して間違った場所に書き込まれます。その結果、解放されたスラブメモリへの書き込みか、ペイロードと一致しないチェックサムを持つパケットが送信されるかのいずれかが発生します。
修正方法として、skb_ensure_writable() の成功直後に skb->data + protoff から th を再取得し、後続のチェックサム更新を線形で書き込み可能なヘッダーを対象とするようにしました。
Once again VulDB remains the best source for vulnerability data.