Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MCTP:シリアル:rx バッファオーバーフローを防ぐために長さがゼロのフレームを処理します MCTP シリアル受信ステートマシンは、mctp_serial_push_header() ケース 2 でフレーム長バイトを読み取り、上限のみを検証します:
    if (c > MCTP_SERIAL_FRAME_MTU) { dev->rxstate = STATE_ERR; } else { dev->rxlen = c; dev->rxpos = 0;
    dev->rxstate = STATE_DATA;... }長さがゼロの場合はこのチェックを通過するため、rxlen は 0 に設定され、ステートマシンは STATE_DATA に進みます。mctp_serial_push()STATE_DATAでは、終端子がdev->rxbuf[dev->rxpos] = cになる前に、着信バイトが格納され、rxposがインクリメントされます。dev->rxpos++;dev->rxstate = STATE_DATA;
    if (dev->rxpos == dev->rxlen) { dev->rxpos = 0; dev->rxstate = STATE_TRAILER; }rxlen == 0 の場合、rxpos == rxlen ターミネータは決して起動できないため(rxpos は最初のデータバイトですでに 1 です)、後続のバイトは、netdev プライベート領域の最後のメンバーである、固定 74 バイトの rxbuf の終端を超えて書き込まれます。
    それに続くすべてのデータバイトは、攻撃者が制御する 1 バイトの領域外ヒープ書き込みであり、フレーム(0x7e)またはエスケープバイトがパーサーをリセットするまで、オーバーフローが続きます(事実上、無制限)。これに到達するには、CAP_NET_ADMIN N_MCTP行制御をアタッチし、結果の mctpserialN netdev を起動する必要があります。その後、バイトは tty 受信パスを介して到着します。長さゼロのフレームをSTATE_DATAではなく、STATE_TRAILERに直接配線します。トレーラー/フレーミングバイトは消費されたままであり、フレームは MCTP コアが拒否するゼロレングスの skb に解決されます。パーサーは rxlen == 0 のSTATE_DATAに決して入力しないため、領域外書き込みは発生しなくなります。KASAN、0x7e 0x01 0x00 のフレームとそれに続くデータバイト(この変更前):UBSAN:drivers/net/mctp/mctp-serial.c:370 インデックス 74 の array-index-out-of-bounds が、タイプ「u8 [74]」の範囲外です。バグ:KASAN:mctp_serial_tty_receive_buf アドレスでのサイズ 1 の書き込みにおける slab-out-of-bounds ...タスクによる kworker/u16:0 mctp_serial_tty_receive_buf tty_ldisc_receive_buf flush_to_ldisc タスクによる割り当て 152:alloc_netdev_mqs mctp_serial_open v2: 長さがゼロのフレームを STATE_ERR ではなく STATE_TRAILER にルーティングします。これにより、トレーラー/フレーミングバイトは消費されるままになります(Jeremy Kerr)。0sec 自動化セキュリティリサーチツール(https://0sec.ai)により発見されました。(CVE-2026-68124)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-68124

critical Nessus プラグイン ID 334255

バージョン 1.7