Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - usbipusbip_pack_ret_submit() の number_of_packets を検証します USB/IP クライアントが RET_SUBMIT 応答を受信する際、usbip_pack_ret_submit() はネットワーク PDU から urb->number_of_packets を無条件に上書きします。
    この値はその後、サイズが URB 割り当て時間に固定されている柔軟な配列である urb->iso_frame_desc[]で反復するために、usbip_recv_iso() と usip_pad_iso() のループ境界として使用されます。
    CMD_SUBMIT からの *origin* number_of_packets。悪意のある USB/IP サーバーは、応答で number_of_packets を、最初に送信された値よりも大きな値に設定することができます。これにより、usbip_recv_iso() が、割り当てられた領域を超えて urb->iso_frame_desc[i] に書き込むと、ヒープの領域外書き込みが発生します。KASAN は、カーネル 7.0.0-rc5 でこれを確認しました バグ KASANタスク vhci_rx/69 による addr ffff888106351d40 での サイズ 4 の書き込み usbip_recv_iso+0x46a/0x640 の slab-out-of-bounds バグのあるアドレスは右に 0 バイトあります割り当てられた 320 バイト領域の [ffff888106351c00、ffff888106351d40] サーバー側stub_rx.cとガジェット側vudc_rx.cは、c6688ef9f297 がコミットされるため、CMD_SUBMIT パスの number_of_packets をすでに検証していますusbip
    stub_rx を修正しますCMD_SUBMIT パスを強化して悪意のある入力を処理しますおよび b78d830f0049usbipvudc_rx を修正します
    悪意のある入力を処理するために CMD_SUBMIT パスを強化します。この時点でまだ URB が存在しないため、サーバー側は USBIP_MAX_ISO_PACKETS に対して検証します。クライアント側には元の URB があるため、より厳しい制限を使用できます。応答は、元の number_of_packets を超えてはなりません。これは、usbip_recv_xbuff() の transfer_buffer_length に対してactual_length の既存の検証を反映させます。これは、元の割り当てサイズに対して応答値をチェックします。Kelvin Mbogo 氏のシリーズusbusbip
    usbip_recv_iso() の整数オーバーフローを修正、v2) は受信側の関数自体を強化します。このパッチは、上書き前の usbip_pack_ret_submit() で、ソースの不良値をキャッチし、グローバルな USBIP_MAX_ISO_PACKETS 制限ではなく、より厳しい URB ごとの割り当て境界を使用することで、その動作を補完します。上書きする前に rpdu->number_of_packets を usbip_pack_ret_submit() の urb->number_of_packets に対してチェックすることで、これを修正します。違反時、usbip_recv_iso() および usip_pad_iso() が安全に早期にリターンされるように、ゼロに固定します。CVE-2026-31607

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31607

high Nessus プラグイン ID 310328

バージョン 1.3