Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - smb:クライアント:シンボリックリンクのエラー応答を解析する OOB 読み取りを修正します CREATE が STATUS_STOPPED_ON_SYMLINK を返すと、smb2_check_message() は長さの検証なしで成功を返し、シンボリックリンクパーサーが信頼できないサーバーに対する唯一の防御のままになります。symlink_data() は、ループテスト p <終了して SMB 3.1.1 エラーコンテキストをウォークしますが、オフセット 4 で p->ErrorId を読み取り、オフセット 0 で p->ErrorDataLength を読み取ります。サーバー制御のErrorDataLengthがpを終了の1〜7バイト以内に進めると、次の反復はそれを超えて読み取ります。一致するコンテキストが見つかったとき、sym->SymLinkErrorTag は、シンボリックリンクヘッダー自体が適合するかどうかをチェックすることなく、p->ErrorContextData からのオフセット 4 で読み取られます。次に、smb2_parse_symlink_response()は、iov_baseからのPathBufferのオフセットとしてSMB2_SYMLINK_STRUCT_SIZEを使用して、置換名を境界チェックします。この値は sizeof(smb2_err_rsp) + sizeof(smb2_symlink_err_rsp) として計算され、ErrorContextCount == 0 の場合にのみ正しくなります。
    少なくとも 1 つのエラーコンテキストがある場合、シンボリックリンクデータは 8 バイト深くなり、一致しないコンテキストがスキップされるたびにさらに 8 + ALIGN(ErrorDataLength, 8) シフトします。チェックが短すぎるため、iov_lenを超えて代替名の読み取りが実行される可能性があります。領域外のヒープバイトは、シンボリックリンクターゲットに UTF-16 デコードされ、readlink(2) を介してユーザー空間に返されます。ループテストに完全なコンテキストヘッダーを必須にさせ、ヘッダーが終端を過ぎている場合は sym を拒否し、固定オフセットではなく sym->PathBuffer の実際の位置に対して代替名をバインドすることで、この問題をすべて修正します。sub_offsとsub_lenは16ビットであるため、ポインタのmathは新しい「より大きい」でオーバーフローしません。(CVE-2026-31613)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31613

high Nessus プラグイン ID 310311

バージョン 1.26