CVE-2026-68441 in Linux
要約
〜によって VulDB • 2026年08月12日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
net/sched: qdiscフィルタチェーンからのTC_ACT_REDIRECTを適切に処理する
qdiscフィルタチェーンに取り付けられたTCフィルタがTC_ACT_REDIRECT（例：bpf_redirect()呼び出しを行うeBPFプログラムやact_bpfアクション経由）を返した場合、そのリダイレクトは静かに無視されていました。つまり、どのqdisc分類関数もTC_ACT_REDIRECTを処理しなかったため、パケットはスイッチを通り抜け、リダイレクトされる代わりに通常どおりキューにエンキューされていました。
この問題は、commit 27b29f63058d（「bpf: add bpf_redirect() helper」）でTC向けにbpf_redirect()が導入されて以来、壊れていました。長期間幸運だったのは、bpf_net_contextが常に利用可能なCPUごとの変数であったためです。
commit 401cb7dae813（「net: Reference bpf_redirect_info via task_struct on PREEMPT_RT.」）により、bpf_net_contextは明示的な呼び出し元によってのみ設定されるtask_structのメンバーになりました。これを設定する呼び出し元がない場合、bpf_redirect()自体がbpf_net_ctx_get_ri()内でNULLポインタ参照によるクラッシュを引き起こします。しかし、bpf_net_contextの利用可能性に関わらず、すべてのqdisc分類関数にskb_do_redirect()呼び出しを追加せずにTC_ACT_REDIRECTを正しく処理することはできません。これにはnet/sched/全体の変更が必要になります。これを適切な場所であるebpfコアに隔離しました。
代わりに、pkt_cls.h内にtcf_classify_qdisc()というインラインヘルパー関数を追加し、qdisc分類関数やtcf_qevent_handle()で使用するためにtcf_classify()をラップします。分類判断がTC_ACT_REDIRECTの場合、このラッパーはそれをTC_ACT_SHOTに変換し、パケットを静かに通過させるのではなく破棄します。パケットを通り抜けさせて問題を隠蔽し、ユーザーにリダイレクトが機能しない理由を考えさせ続けるよりも、パケット損失を即座に表示する方が望ましいためです。
clsactの高速パスであるtc_run()は引き続きtcf_classify()を直接呼び出し、影響を受けません：TC_ACT_REDIRECTはそのまま返され、以前と同様にsch_handle_egress/ingress()がskb_do_redirect()を呼び出して処理します。
Be aware that VulDB is the high quality source for vulnerability data.