Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - smbclientシンボリックリンクエラー応答を解析する OOB 読み取りを修正します。CREATE が STATUS_STOPPED_ON_SYMLINK を返すとき、smb2_check_message() は長さ検証なしで成功を返し、信頼できないサーバーに対する唯一の防御としてシンボリックリンクパーサーを残します。 symlink_data() は p < end のループテストで SMB 3.1.1 エラーコンテキストをウォークしますが、p->ErrorId をオフセット 4 で、p->ErrorDataLength をオフセット 0 で読み取ります。次の反復がそれを超えて読み取られる可能性があります。一致するコンテキストが見つかったとき、sym->SymLinkErrorTag は、シンボリックリンクヘッダー自体が適合するかどうかのチェックなしで、p->ErrorContextData からオフセット 4 で読み込まれます。 smb2_parse_symlink_response() は、SMB2_SYMLINK_STRUCT_SIZE を iov_base からの PathBuffer のオフセットとして使用して、置換名を境界チェックします。この値は、sizeof(smb2_err_rsp) + sizeof(smb2_symlink_err_rsp) として計算され、ErrorContextCount == 0 の場合のみ正しくなります。
    少なくとも 1 つのエラーコンテキストがあると、シンボリックリンクデータは 8 バイトの深さになり、スキップされるそれぞれの一致しないコンテキストでは、8 + ALIGN(ErrorDataLength, 8) だけさらにシフトされます。チェックが短すぎるため、置換名の読み取りが過去の iov_len を実行する可能性があります。領域外のヒープバイトは、シンボリックリンクターゲットへ UTF-16 でデコードされ、readlink(2) を介してユーザー空間に戻されます。ループテストで完全なコンテキストヘッダーが必須になるようにし、ヘッダーが終端を越える場合は sym を拒否し、固定オフセットではなく sym->PathBuffer の実際の位置に対して置換名をバインドすることで、これをすべて修正します。sub_offs と sub_len が 16 ビットであるため、ポインターパスはここで新しいgreat-than でオーバーフローしません。CVE-2026-31613

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31613

medium Nessus プラグイン ID 310311

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Apr 26, 2026, 5:43 AM CVSS metrics ("CVSSv2 score" set to 8.5) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:C") Detection (updated detection logic) Plugin metadata Plugin Feed: 202604260543
バージョン 1.2 Apr 26, 2026, 1:19 AM CVSS metrics ("CVSSv2 score" set to 9.4) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:C") Detection (updated detection logic) Plugin metadata Plugin Feed: 202604260119
バージョン 1.1 Apr 25, 2026, 4:14 PM New Plugin Feed: 202604251614