Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - nvmet:Discovery Get Log Page nvmet_execute_disc_get_log_page() での事前認証の領域外ヒープ読み取りを修正します。) は、ホスト指定のログページオフセット(lpo)の dword アライメントのみを検証します。次に、64 ビットのオフセットが、ディスカバリーログページを保持する小さな kzalloc'd バッファに追加され、結果が nvmet_copy_to_sgl() に直接渡されます。これにより、memcpy() はソース側の境界チェックなしでホストにバイトdata_len送信されます: u64 offset = nvmet_get_log_page_offset(req->cmd);/* 64 ビットホスト */ size_t data_len = nvmet_get_log_page_len(req->cmd);/* 32 ビットホスト */ ...if (offset &; 0x3) { ... } /* チェックのみ */ ...
    alloc_len = sizeof(*hdr) + entry_size * discovery_log_entries(req);バッファ = kzalloc(alloc_len、GFP_KERNEL);...status = nvmet_copy_to_sgl(req, 0, buffer + offset, data_len);ディスカバリコントローラーは認証されていないため -- nvmet_host_allowed() はディスカバリーサブシステムに対して無条件に true を返すため、nvmet ターゲットに到達できる任意の TCP/RDMA/FC ピアによる事前認証により、呼び出しに到達できます。~1 KiB のディスカバリーログページで、攻撃者はオフセット == alloc_len から始まる最大 4 KiB をリクエストし、次のスラブページを読み出し、ファブリックを通してそのコンテンツを返します(デフォルトの nvmet-tcp ループバックターゲットでの経験的実行により、1 つの Get Log Page 応答で 81 個の標準カーネルポインターが漏洩しました)。マップされていないカーネルメモリにオフセットを指定すると、カーネル内の memcpy に障害が発生し、代わりにターゲットホストがクラッシュ(またはパニック)します(panic_on_oops=1)。攻撃者が制御するソース側のオフセットパターン nvmet_copy_to_sgl(req, 0, buffer + ATTACKER_OFFSET, ...) は nvmet コードベース全体で nvmet_execute_disc_get_log_page に対して一意です。admin-cmd.c のその他のすべての Get Log Page ハンドラーは lpo を無視するか(そして、すべての応答をオフセット 0 で警告なしに開始する)、固定されたソースポインターでローカルの宛先オフセットを追跡します。ログページサイズに対するホスト指定のオフセットを検証し、コピーの長さを実際に利用可能な範囲に制限し、ホスト転送バッファの残りをゼロフィルします。zero-fill は、nvmet_execute_get_log_changed_ns()(admin-cmd.c)の既存の短い応答パターンに一致し、ホストがログページに含まれる以上のバイトを要求した場合に、トランスポート SGL コンテンツの漏洩を防止します。(CVE-2026-64320)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64320

critical Nessus プラグイン ID 329815

バージョン 1.14