Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ipv6:put_cmsg() の長さを計算するときにオンワイヤの hdrlen バイト(ptr[1])を信頼することで、cmsg ip6_datagram_recv_specific_ctl() ビルド IPV6_{HOPOPTS,DSTOPTS,RTHDR} cmsgs(およびその IPV6_2292* レガシーの対応物)にコピーする前に拡張ヘッダーの長さを検証します。長さは、解析時(ipv6_parse_hopopts()など)でのみ検証されました。nftables ペイロード書き込み式が、解析後、skb が recvmsg に到達する前に hdrlen を書き換える可能性があります。書き込み自体は領域内ですが、put_cmsg() はその後、8 バイトヘッダーから ((hdrlen+1) << 3) = 2040 バイトまで読み取ります。nftables は権限のないユーザーの名前空間から到達可能であるため、これは権限のない slab-out-of-bounds read: バグ: KASAN: put_cmsg+0x3ac/0x540 put_cmsg+0x3ac/0x540 udpv6_recvmsg+0xca0/0x1250 sock_recvmsg+0xdf/0x190 ____sys_recvmsg+0x1b1/0x620 の slab-out-of-bounds hdrlen フィールドを読み込む前に、少なくとも 2 バイトがアクセス可能であることを検証する ipv6_get_exthdr_len() を追加します、 次に、計算された長さを skb_tail_pointer (skb) と照合し、失敗した場合は 0 を返します。拡張ヘッダーは、入力中に pskb_may_pull() によって線形 skb 領域に保持されるため、skb_tail_pointer() が正しい境界です。すべての非 AH 呼び出しサイトで ipv6_get_exthdr_len() を使用します: 5 つのスタンドアロン cmsg ブロック (HbH、2292HbH、2292DSTOPTS x2、2292RTHDR) と拡張ヘッダーウォークループの 3 つの標準ケース (DSTOPTS、ROUTING、デフォルト)。AH は、長さの式が異なるため ((ptr[1]+2)<<2) インライン境界チェックを保持します。また、ウォークループは、トップで事前読み取り境界チェックを取得し、いずれかのケースが ptr[0] または ptr[1] にアクセスする前に ptr を検証します。ウォークループが破損したヘッダーを検出すると、後のソケットオプションの処理を続行するのではなく、関数から戻ります。(CVE-2026-63920)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-63920

high Nessus プラグイン ID 328186

バージョン 1.3