CVE-2026-99074 in Linux
要約
〜によって VulDB • 2026年10月23日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
ipv4: nexthopグループが縮小された場合にPMTUウォークを停止する
コミット 7d3f3b4367f3 ("net: ipv4: multipath有効化時にすべてのパケットパスに対してpmtuをキャッシュする") は、__ip_rt_update_pmtu() がすべてのパスを更新するようにしました。
nexthopオブジェクトにおいて、fib_info_num_path() と fib_info_nhc() はそれぞれ独立して nh->nh_grp を読み込みます。RCUは各グループの寿命を保証しますが、これらの読み込みが同じグループを参照するようにはなりません。ループがインデックスを受け入れた後に置換によってグループが縮小された場合、fib_info_nhc() は NULL を返し、update_or_create_fnhe() がそれを間接参照します。
決定論的なプローブは、実際の操作間の既存のウィンドウを広げるだけでした。v7.2 では、RTM_NEWNEXTHOP の置換により、PMTUリーダーが 2メンバーグループからインデックス1を受け取った後に 1メンバーグループが公開され、以下のような結果を生みました：
KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007]
RIP: update_or_create_fnhe+0x45/0x15b0
インデックス付きパスが存在しない場合に停止します。グループは密であるため、そのスナップショットにはそれ以降のインデックスは存在しません。このチェックにより、実際の書き込み側のウィンドウで 114,423回のPMTUイテレーションがオッズ（oops）なしで完了しました。再現プログラムは要求に応じて入手可能です。
置換操作にはネットワーク名前空間内で CAP_NET_ADMIN が必要です。特権のないユーザー名前空間が許可されている環境では、ローカルユーザーが新しいユーザーおよびネットワーク名前空間においてこれを取得できます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.