Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xfrm:syzbot が構造体 xfrm_state refcount の漏洩を報告しているイベントNETDEV_UNREGISTER、ステートとポリシーを常にフラッシュします。unregister_netdevice:netdevsim0 が解放されるのを待機します。使用カウント = 2 ref_tracker: netdev@ffff888052f24618 に __netdev_tracker_alloc include/linux/netdevice.h:4400 [インライン] netdev_tracker_alloc include/linux/netdevice.h:4412 [インライン] xfrm_dev_state_add+0x3a5/0x1080 net/xfrm/xfrm_device.c:316 xfrm_state_construct net/xfrm/xfrm_user.c:986 [インライン] xfrm_add_sa+0x34ff/0x5fa0 net/xfrm/xfrm_user.c:1022 xfrm_user_rcv_msg+0x58e/0xc00 net/xfrm/xfrm_user.c:3507 netlink_rcv_skb+0x158/0x420 net/netlink/af_netlink.c:2550 xfrm_netlink_rcv+0x71/0x90 net/xfrm/xfrm_user.c:3529 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [インライン] netlink_unicast+0x5aa/0x870 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x8c8/0xdd0 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [インライン] __sock_sendmsg net/socket.c:742 [インライン] ____sys_sendmsg+0xa5d/0xc30 net/socket.c:2592 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2646
    __sys_sendmsg+0x16d/0x220 net/socket.c:2678 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [インライン] do_syscall_64+0xcd/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f これは、コミット d77e38e612a0 (xfrm:IPsec ハードウェアオフロード API を追加)が、xfrm_state_construct() から xfrm_dev_state_add() であるにもかかわらず、no-op として xfrm_dev_unregister() を実装し、構造体 net_device への参照を取得するためです。そのコミットは、イベントがNETDEV_UNREGISTER起動する前にNETDEV_DOWNイベントが起動されることを前提とし、(dev->features & NETIF_F_HW_ESP) != 0の場合にのみxfrm_dev_state_add()が呼び出されることを前提としていたと思います。サブリナ・ドゥブロカは、以下と同じ症状を再現するための手順を特定しました。echo 0 > /sys/bus/netdevsim/new_device dev=$(ls -1 /sys/bus/netdevsim/devices/netdevsim0/net/) ip xfrm state add src 192.168.13.1 dst 192.168.13.2 proto esp \ spi 0x1000 mode tunnel aead 'rfc4106(gcm(aes))' $key 128 \ offload crypto dev $dev dir out ethtool -K $dev esp-hw-offload off echo 0 > /sys/bus/netdevsim/del_device 以下の手順が示すように、xfrm_dev_state_add() が構造体 net_device への参照を取得した後で、NETIF_F_HW_ESP ビットをクリアできます。また、xfrm_dev_state_add() は、struct net_device への参照を取得するときに、NETIF_F_HW_ESP ビットをチェックしません。コミット 03891f820c21(xfrm:xfrm デバイスのNETDEV_UNREGISTERを処理)は、NETDEV_UNREGISTER イベントを xfrm_dev_event() に再導入しましたが、そのコミットは不明な理由で NETDEV_DOWN イベントと NETDEV_UNREGISTER イベントの間で xfrm_dev_down() を共有することを選択しました。そのコミットは前の段落の動作を見逃していると思います。したがって、無条件に状態とポリシーをフラッシュして、構造体net_deviceへの参照を解放するために、xfrm_dev_unregister()を再導入する必要があります。(CVE-2026-43167)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-43167

medium Nessus プラグイン ID 312779

バージョン 1.23