CVE-2026-64121 in Linux
要約
〜によって VulDB • 2026年07月19日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
net: ifb: num_tx_queuesに基づいてethtool統計情報を報告する
ifb_dev_init()は、kzalloc_objs(*txp, dev->num_tx_queues)を使用してdp->tx_privateをdev->num_tx_queuesエントリに割り当てます。IFBのキューごとのRXおよびTX統計情報はすべてこれらのエントリ内に存在します：ifb_xmit()はskbのキューマッピングを使用してtxp->rx_statsを更新し、ifb_ri_tasklet()はtxp->tx_statsを更新し、ifb_stats64()はdev->num_tx_queues全体で両方を集計します。
一方、ethtool統計情報のコールバック関数は、dev->real_num_rx_queuesおよびdev->real_num_tx_queuesを使用してキューごとの統計情報をサイズ決定して走査しています。RXキュー数がTXキュー数を上回る非対称なデバイスにおいて（例：`ip link add name ifb10 numtxqueues 1 numrxqueues 8 type ifb`、その後 `ethtool -S ifb10`）、ifb_get_ethtool_stats()はtx_privateの割り当て領域を越えてインデックスアクセスを行い、ETHTOOL_GSTATSを通じて隣接するslabデータをコピーしてしまいます。
統計文字列、統計数、および統計データの走査においてdev->num_tx_queuesを一貫して使用します。これにより、IFBが実際に設定可能なキューセットである各ifb_q_privateエントリに対して1つのRX統計グループと1つのTX統計グループが報告されます。
v7.1-rc2でUML+KASAN環境下にて再現されました：
BUG: KASAN: slab-out-of-bounds in ifb_fill_stats_data+0x3c/0xae Read of size 8 at addr 0000000062dbd228 by task ethtool/36 ifb_fill_stats_data+0x3c/0xae ifb_get_ethtool_stats+0xc0/0x129 __dev_ethtool+0x1ca5/0x363c dev_ethtool+0x123/0x1b3 dev_ioctl+0x56c/0x744 sock_do_ioctl+0x15f/0x1b2 sock_ioctl+0x4d5/0x50a sys_ioctl+0xd8b/0xde9
パッチを適用すると、同じUML+KASANでの再現試行は沈黙し、`ethtool -S ifb10`は単一の割り当て済みtx_privateエントリによって裏付けられた統計情報のみを報告します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.