Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - mptcp:slab-use-after-free を修正__inet_lookup_established ehashテーブルの検索はロックレスで、RCU読み取り側の重要な区間でのソケットメモリの安定性を保証するためにSLAB_TYPESAFE_BY_RCUに依存しています。tcp_protもtcpv6_protも、proto_register()を通じてこのフラグでスラブキャッシュが作成されています。しかし、MPTCPのmptcp_subflow_init()はinet_init()(fs_initcall、レベル5)、inet6_init()()(module_init/device_initcall、レベル6)がproto_register(&tcpv6_prot)を呼び出す前に、tcpv6_prot tcpv6_prot_overrideにコピーします。その時点でtcpv6_prot.slabはまだNULLのままなので、tcpv6_prot_override.slabは永久にNULLのままです。これにより、MPTCP v6のサブフロー子ソケットはTCPv6スラブキャッシュの代わりにkmalloc(kmalloc-4kに落ちる)で割り当てられます。kmalloc-4kキャッシュにはSLAB_TYPESAFE_BY_RCUがないため、これらのソケットがSOCK_RCU_FREEなしで解放されると(設計上子ソケットはクリアされています)、メモリは即座に再利用可能です。rcu_read_lock下での同時エハッシュ検索は解放されたメモリにアクセスでき、__inet_lookup_establishedのスラブ使用後の解放が発生します。これを解決するには、IPv6固有の初期化をmptcp_subflow_init()から新しいmptcp_subflow_v6_init()に分割し、プロトコル登録前にmptcp_proto_v6_init()から呼び出されます。これにより、tcpv6_prot_override.slabはSLAB_TYPESAFE_BY_RCUスラブキャッシュを正しく継承します。(CVE-2026-31669)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31669

critical Nessus プラグイン ID 310471

バージョン 1.11