Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - usbip: usbip_pack_ret_submit() の number_of_packets の検証。USB/IP クライアントが RET_SUBMIT 応答を受信する際、usbip_pack_ret_submit() はネットワーク PDU から urb->number_of_packets を無条件に上書きします。
    この値は、その後、usbip_recv_iso() および usbip_pad_iso() において、urb->iso_frame_desc[] を反復処理するためのループ境界として使用されます。urb-> は、CMD_SUBMIT からの 
    *original* number_of_packets に基づいて URB の割り当て時にサイズが固定された可変長配列です。悪意のある USB/IP サーバーは、応答で number_of_packets を、最初に送信された値よりも大きな値に設定することができます。これにより、usbip_recv_iso() が、割り当てられた領域を超えて urb->iso_frame_desc[i] に書き込むと、ヒープの領域外書き込みが発生します。KASAN は、カーネル 7.0.0-rc5 でこれを確認しました。BUG: KASAN: usbip_recv_iso+0x46a/0x640 でのスラブの範囲外アクセス。タスク vhci_rx/69 によるアドレス ffff888106351d40 への 4 バイトの書き込み。バグのあるアドレスは、割り当てられた 320 バイトの領域 [ffff888106351c00, ffff888106351d40) の右ゼロバイトの位置にあります。以下のコミット以降、サーバー側 (stub_rx.c) およびガジェット側 (vudc_rx.c) では、CMD_SUBMIT パスにおいて number_of_packets の検証がすでに実施されています。c6688ef9f297 (usbip:
    fix stub_rx: harden CMD_SUBMIT path to handle malicious input)、b78d830f0049 (usbip: fix vudc_rx:
    harden CMD_SUBMIT path to handle malicious input)。この時点でまだ URB が存在しないため、サーバー側は USBIP_MAX_ISO_PACKETS に対して検証します。クライアント側には元の URB があるため、より厳しい制限を使用できます。応答は、元の number_of_packets を超えてはなりません。これは、usbip_recv_xbuff() の transfer_buffer_length に対する actual_length の既存の検証と一致しており、元の割り当てサイズに対して応答値をチェックします。Kelvin Mbogo 氏のシリーズ (usb: usbip: 
    usbip_recv_iso() の整数オーバーフローを修正、v2) は、受信側の関数事態を強化します。このパッチは、上書き前の usbip_pack_ret_submit() で、ソースの不良値をキャッチし、グローバルな USBIP_MAX_ISO_PACKETS 制限ではなく、より厳しい URB ごとの割り当て境界を使用することで、その動作を補完します。上書きする前に rpdu->number_of_packets を usbip_pack_ret_submit() の urb->number_of_packets に対してチェックすることで、この問題を修正してください。違反時、usbip_recv_iso() および usbip_pad_iso() が安全に早期にリターンされるように、ゼロに固定します。(CVE-2026-31607)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31607

high Nessus プラグイン ID 310328

バージョン 1.7