Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netfilter:synproxy:skb_ensure_writable synproxy_tstamp_adjust() が TCP タイムスタンプオプションを所定の位置に書き換えてから、呼び出し側が指定した tcphdr ポインターの inet_proto_csum_replace4() を介して TCP チェックサムにパッチを適用した後に、synproxy が tcphdr をリフレッシュします。ipv4_synproxy_hook() と ipv6_synproxy_hook() はどちらも、呼び出しの前に skb_header_pointer() でそのポインターを取得するため、skb->head を直接エイリアスするか、呼び出し元のスタック上の_tcphバッファをポイントします。ポインタの取得と使用の間に、関数は skb_ensure_writable(skb, optend) を呼び出します。これは、クローンされたまたは非線形の skb で pskb_expand_head() を呼び出し、古い skb->head を解放します。そのポイントを過ぎると、キャッシュされた th は古くなります: 呼び出し元 (ipv[46]_synproxy_hook) th = skb_header_pointer(skb, ..., &_tcph) synproxy_tstamp_adjust(skb, protoff, th, ...) skb_ensure_writable(skb, optend) pskb_expand_head() /* kfree(old skb->head) */ ...
    inet_proto_csum_replace4(&th->check, ...) /* 解放されたヘッドまたは呼び出し元のスタックコピーに書き込み、on-wire チェックサムを古い状態にします */ オプションバイトは skb->data を通して書き込まれ、問題ありません。チェックサムの更新のみが th を通過するため、間違った場所に着地します。その結果、解放されたスラブメモリへの書き込み、またはペイロードと一致しないチェックサムを持つパケットのどちらかになります。後続のチェックサム更新が線形の書き込み可能なヘッダーをターゲットにするように、skb_ensure_writable() が成功した直後に skb->data + protoff から th を再派生させることで修正します。(CVE-2026-64007)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64007

critical Nessus プラグイン ID 328121

バージョン 1.28