Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xprtrdma:bcall rep の漏洩と制限のない peek rpcrdma_is_bcall() が、フレームがバックチャネル呼び出しであるかどうかを判断するために返信の最初の単語をデコードするのを修正します。そのデコードパスにある 2 つの問題により、短いまたは無効な形式の返信により、受信バッファが漏洩し、受信キューが排出されます。まず、推測のピーク p = xdr_inline_decode(xdr、0);/* 5 つの P++ 読み取りが続きます */ が xdr_inline_decode() にゼロバイトを要求すると、xdr->end を参照せずに xdr->p が返されます。その後、5 回の __be32 読み取りは、ワイヤペイロードを最大 20 バイト過ぎて古い regbuf コンテンツに移動し、返信をバックチャネル呼び出しとして誤って分類する可能性があります。第二に、ポストピークの後 p = xdr_inline_decode(xdr, 3 * sizeof(*p));if (unlikely(!p)) が true を返します。ショートヘッダー ARM は、rpcrdma_bc_receive_call() を呼び出さずに true を返します。呼び出し元との契約は、真の戻り値が rep の所有権をバックチャネルパスに転送するというものです: rpcrdma_reply_handler() if (rpcrdma_is_bcall(r_xprt, rep)) return;/* ベアリターン、スキップout_post */ ...out_post:
    rpcrdma_post_recvs(r_xprt、クレジット + ...);rpcrdma_bc_receive_call() が実行されなかったため、誰も rep を取りませんでしたが、rpcrdma_reply_handler rpcrdma_rep_put() と rpcrdma_post_recvs() を超えて生生いで戻っています。永続的に DMA がマップされた受信バッファを持つ rep は、rb_all_reps で孤立し、トランスポート終了時にのみ解放されます。この完了は何も再投稿しないため、そのスロットは、後のフォワードチャネル応答が out_post に達し、rpcrdma_post_recvs() がバックフィルに新しい rep を割り当てた場合にのみ再利用されます。そのトラフィックがないと、受信キューは排出され、ピアの送信は RNR NAK を描画します。ゼロレングスピーク後に xdr->end を参照して修正し、20 バイトのワイヤペイロードが残っていない限り、5 つの__be32読み取りを実行できません。xdr->end に対するバイト精度の正確な比較が必要です。これは、4 配置されていない受信が、ストリームのワードカウントを真のペイロードを超えて切り上げるためです。また、返信が通常のout_norqstクリーンアップチェーン(rpcrdma_rep_put() と rpcrdma_post_recvs()を通り抜けるように、ショートヘッダーアームから false を返します。(CVE-2026-72466)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-72466

critical Nessus プラグイン ID 335548

バージョン 1.31