Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - bpf、skmsg:ktls rx との競合sk_data_ready判定を修正します sk_psock_strp_data_ready() はすでに tls_sw_has_ctx_rx() をチェックし、TLS RX コンテキストが存在するときに psock->saved_data_ready に延期します。これにより、受信キューの TLS strparser の所有権との競合を回避しています(コミット e91de6afa81c、bpf:ktls で実行されている sk_skb プログラムタイプを修正します)。sk_psock_verdict_data_ready() には同等のガードがありません。RX が構成TLSされる前にソケットが sockmap(BPF_SK_SKB_VERDICT)に挿入されると、tls_sw_strparser_arm() はsk_psock_verdict_data_readyを rx_ctx->saved_data_ready として保存します。データ到着時:tls_data_ready -> tls_strp_data_ready -> tls_rx_msg_ready -> saved_data_ready() = sk_psock_verdict_data_ready() -> tcp_read_skb() は、tcp_eat_skb() を呼び出さずに __skb_unlink() を介してsk_receive_queueを排出するため、copied_seqはアドバンスされません。次にtls_strp_msg_load()はtcp_inq() >= full_len(stale)を見つけ、空になったキューでtcp_recv_skb()を呼び出し、WARN_ON_ONCE(!first)をヒットし、psock が所有する(解放されている可能性のある)skb を指し示す rx_ctx->strp.anchor.frag_list を返します。tls_decrypt_sg()はその後、そのfrag_list、メモリ解放後使用(Use After Free)を実行します。
    sk_psock_strp_data_ready() と同じ修正を適用します:TLS RX コンテキストが存在する場合、psock->saved_data_ready(sock_def_readable)を呼び出して recv() の待機処理をウェイクアップし、受信キューに触れずにすぐに戻ります。TLS はキューの唯一の所有権を保持し、通常通り tls_sw_recvmsg() を通じてレコードを復号します。(CVE-2026-64025)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64025

critical Nessus プラグイン ID 327938

バージョン 1.5