Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - RDMA/rxe:ICRC 処理の前に不明な opcode を拒否します コミット 7244491dab34(RDMA/rxe:rxe_rcv の payload_size() の前にパッドと ICRC を検証)を適用した後でも、単一の認証されていない UDP パケットがパニックを引き起こす可能性があります。そのパッチは、未知のオペコードのあるパケットではなく、短いパケットを含む有効なオペコードに対してのみ payload_size() アンダーフローを処理しました。以下に説明する不明なオペコード OOB 読み取りは、コミットされる前から、初期の Soft RoCE ドライバーまでさかのぼります。そこに追加されたチェックは、pkt->paylen < header_size(pkt) + bth_pad(pkt) + RXE_ICRC_SIZE と読み、ここで header_size(pkt) は rxe_opcode[pkt->opcode].length に展開されます。rxe_opcode[] 配列には 256 のエントリがありますが、定義済みの IB オペコードに対してのみ入力されます。その他のエントリ(たとえば opcode 0xff)はゼロ初期化されるため、length == 0 になり、チェックは pkt->paylen < 0 + bth_pad(pkt) + RXE_ICRC_SIZEに退化します。これは pkt->paylen を十分に制約しません。
    次に rxe_icrc_hdr() は rxe_opcode[pkt->opcode].length - RXE_BTH_BYTESを計算します。これは長さが 0 のときにアンダーフローし、大きな値を rxe_crc32() に渡すことで、skb ペイロードの領域外読み取りが発生します。その修正を適用した v7.0-rc7 で再現、CONFIG_RDMA_RXE=y および CONFIG_KASAN=y の QEMU/KVM、rdma リンクの後に rxe0 タイプを追加 rxe netdev eth0 BTH opcode=0xff および QPN=IB_MULTICAST_QPN のポート 4791 への単一の 48 バイトの UDP パケットがトリガーされます: バグ:KASAN:crc32_le+0x115/0x170 の slab-out-of-bounds addr ... バグのあるアドレスは、割り当てられた 704 バイトの領域の右側に 0 バイトあります コールトレース:
    crc32_le+0x115/0x170 rxe_icrc_hdr.isra.0+0x226/0x300 rxe_icrc_check+0x13f/0x3a0 rxe_rcv+0x6e1/0x16e0 rxe_udp_encap_recv+0x20a/0x320 udp_queue_rcv_one_skb+0x7ed/0x12c0 同じ形状の後続のパケットは、マッピングされていないメモリで障害が発生し、カーネルをパニック状態にします。このトリガーに必要なのは、モジュールのロードと rdma リンクの追加のみです。
    QP なし、接続なし、認証なし。長さ演算の実行前に、ゼロマスクまたはゼロレングスによって検出された、opcode に rxe_opcode[] エントリがないパケットを拒否することで、これを修正します。
    (CVE-2026-46133)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-46133

high Nessus プラグイン ID 317626

バージョン 1.14