Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - vhost/net:未解決の zerocopy TX 記述子ごとに 1 つのubuf_infoを vhost-net が初期化し、バックエンドソケットに渡した後にのみ、zerocopy ubufs を完了します。その後、すべての skb 参照がリリースされる前に、ネットワーキングスタックが zerocopy skb を複製する可能性があります。たとえば、batman-adv フラグメンテーションは skb_split() に達し、skb_zerocopy_clone() は呼び出して同じubuf_info refcount を増分します。vhost_zerocopy_complete() は現在、すべての ubuf コールバックを完成した vhost 記述子として処理しています。これは、ubuf->ctx を逆参照し、記述子の完了状態を書き込み、コールバックがクローンされた skb 参照のみをリリースする場合でも、vhost_net_ubuf_refをドロップします。したがって、バックエンドのリセットでは、別のクローンされたskbが同じubuf_infoを保持している間に、vhost_net_ubuf_refを待機して解放できます。その後、完了が遅い場合、解放された ubufs ポインターが逆参照されます。
    KASAN は、古い完了を次のように報告します: バグ: KASAN:vhost_zerocopy_complete+0x1d7/0x1f0 の slab-use-after-free バグ: KASAN: vhost_zerocopy_complete+0x101/0x1f0 vhost_zerocopy_complete skb_copy_ubufs __dev_forward_skb2 veth_xmit の slab-use-after-free 解放されたオブジェクトは、バックエンドの設定中に vhost_net_ioctl() から割り当てられ、バックエンドの削除後に kfree_rcu()/kvfree_rcu_bulk を通じて解放されました。 一方、遅延した skb 完了が依然として vhost_zerocopy_complete() に達します。vhost 状態に触れる前に一般的な ubuf_info refcount を尊重し、最後の ubuf 参照に対してのみ vhost 記述子の完了を実行します。これは、複製された zerocopy skb の msg_zerocopy_complete() 所有権ルールに一致します。
    (CVE-2026-74310)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-74310

critical Nessus プラグイン ID 335571

バージョン 1.7