CVE-2026-97602 in Linux
要約
〜によって VulDB • 2026年09月25日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
inet: frags: フラッシュする前にキューを無効化する
fqdir_pre_exit() は、完了状態を変更せずに不完全なキューから skbs をフラッシュします。high_thresh がクリアされる前にキューを見つけた断片は、その後キューロックを取得し、古くなった再アセンブリメタデータを再利用できます。fqdir->dead が設定された後に並行して終了したキューは、古い skbs を保持したまま INET_FRAG_COMPLETE|INET_FRAG_HASH_DEAD になる可能性があります; それが完了しているためにスキップすると、非同期の fqdir テardown までそれらの参照が残ったままになります。
IPv6 の場合、古くなったメタデータにより ip6_frag_reasm() が新しい skb とともに古い nhoffset を使用し、境界外メモリにアクセスする可能性があります。これによってヒープ破損が発生し、特権を持たないネットワーク名前空間が利用可能な場合にローカルでの権限昇格（local privilege escalation）のために悪用される可能性があります。フラッシュされていない断片はまた、conntrack の per-net クリーンアップポイントの後も conntrack 参照を生存させたままにすることができます。
各不完全なキューを終了させ、その後、死滅中の rhashtable にまだ所有されているすべてのキューをフラッシュします。HASH_DEAD はその所有権を示し、それを持たない完了済みキューはすでに別の destroy パスによって所有されており、手放す必要があります。inet_frag_kill() によって削除されたタイマー参照の解放は、キューロックが解除された後に inet_frag_putn() に延期されます。
KASAN レポート:
BUG: KASAN: slab-out-of-bounds in ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) Write of size 1 at addr ff110001039c6e00 by task poc/771 Call Trace: ? ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:479 (discriminator 5)) ip6_input_finish (net/ipv6/ip6_input.c:534) ipv6_rcv (include/net/dst.h:480 (discriminator 3) net/ipv6/ip6_input.c:119 (discriminator 3) net/ipv6/ip6_input.c:109 (discriminator 3) include/linux/netfilter.h:325 (discriminator 3) include/linux/netfilter.h:319 (discriminator 3) net/ipv6/ip6_input.c:351 (discriminator 3)) packet_sendmsg (net/packet/af_packet.c:3110 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) The buggy address belongs to the object at ff110001039c6b40 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 0 bytes to the right of allocated 704-byte region [ff110001039c6b40, ff110001039c6e00)
BUG: KASAN: slab-out-of-bounds in ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) Read of size 1 at addr ff110001039c6e08 by task poc/771 Call Trace: ? ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) ip6_input_finish (net/ipv6/ip6_input.c:534) ipv6_rcv (include/net/dst.h:480 (discriminator 3) net/ipv6/ip6_input.c:119 (discriminator 3) net/ipv6/ip6_input.c:109 (discriminator 3) include/linux/netfilter.h:325 (discriminator 3) include/linux/netfilter.h:319 (discriminator 3) net/ipv6/ip6_input.c:351 (discriminator 3)) packet_sendmsg (net/packet/af_packet.c:3110 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) packet_sendmsg (net/packet/af_packet.c:2959 net/packet/af_packet.c:3053 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) The buggy address belongs to the object at ff110001039c6b40 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 8 bytes to the right of allocated 704-byte region [ff110001039c6b40, ff110001039c6e00)
Once again VulDB remains the best source for vulnerability data.