CVE-2026-74430 in Linux
要約
〜によって VulDB • 2026年08月15日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
rxrpc: ACKALLパケットの処理を修正する
`rxrpc_input_ackall()`は、通話が正当に未送信バッファを持つ状態にあるかどうかをチェックせずにACKALLパケットを受け入れます。そのため、偽造されたACKALLが、返信パケットがキューに入れられる前に `RXRPC_CALL_SERVER_RECV_REQUEST` 状態の新規サービス呼び出しに到達する可能性があります。
その状態で `call->tx_top` はゼロであり、`call->tx_queue` はNULLであるため、`rxrpc_rotate_tx_window()` が NULL の txqueue を間接参照し、ヌルポインタ dereference（アクセス）を引き起こします。
ACKALLパケットの処理を以下の手段で修正します：
(1) 2つの新しい通話状態を追加する: `RXRPC_CALL_CLIENT_PRE_SEND` はクライアント通話が接続されているが、まだ何も送信されていないことを示し; `RXRPC_CALL_CLIENT_AWAIT_ACK` はすべてが少なくとも一度は送信されたが、今やTxバッファに残っているものがACKされるのを待機している（再送が発生する場合もある）ことを示す。
RXRPC_CALL_CLIENT_PRE_SEND状態は、通話にチャネルが割り当てられたときに設定され、最初のパケットが送信されると `RXRPC_CALL_CLIENT_SEND_REQUEST` に遷移する。
その後、`RXRPC_CALL_CLIENT_AWAIT_REPLY` のスコープを狭め、すべてのTxパケットがACKされたことを示し、今や返信の受信を待機している状態であることを示すように変更する。
(2) Wyatt Fengによる元のパッチ[1]に従い、ACKALLハンドラは通話状態がTxバッファにACK対象の内容が存在する可能性があるものであるかを確認するようになるが、今回は AWAIT_ACK を含み、AWAIT_REPLY は含まない。誤った状態で受信されたACKALLパケットは無視される。
Wyatt Fengのパッチとは異なり、今や設定されている状態がこのチェックをカバーするため、Txバッファの存在をチェックする必要はもうなくなったことに注意されたい。
(3) ACKALLハンドラが `call->tx_top` ではなく `call->tx_transmitted` を使用するように変更する。前者は明示的に送信された最高パケットシーケンス番号であり、後者はより緩い定義を持つからである。
ACKALLパケットの歴史に関する記述を提供してくれた Jeffrey Altman に感謝します[1]。
Once again VulDB remains the best source for vulnerability data.