Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - net/sched:act_gact、act_police:範囲チェック フォールバックコントロールアクションtcf_action_check_ctrlact) 範囲チェック プライマリコントロールアクション: if (!opcode) ret = action > TC_ACT_VALUE_MAX ? -EINVAL:0;
    TC_ACT_VALUE_MAXはTC_ACT_TRAPであるため、これを超えるカーネル内部判定はそのように設定できません。しかし、act_gactとact_policeはそれぞれ、そのヘルパー(TCA_GACT_PROB.paction と TCA_POLICE_RESULT)には決して到達しないユーザー空間によって提供される 2 番目の独立したコントロールアクションを実行します。どちらもTC_ACT_GOTO_CHAINを拒否するだけなので、他の値は逐語的に保存され、アクションから逐語的に返されます。特にユーザー空間は、TC_ACT_VALUE_MAX + 1 であり、意図的に UAPI 値の範囲の一部ではない TC_ACT_CONSUMED を保存できます。その判定は、アクションがskbの所有権を取得したことをすべての呼び出し元に伝えるため、誰もそれを解放しません:sch_handle_ingress()、sch_handle_egress()、tcf_qevent_handle()はすべて意図的にその解放をスキップします。その結果、1つの漏えいsk_buffとそのデータバッファが、カーネル生成パケットを含むチェーン上のすべてのトラフィックについて、フィルターを無制限にトラバースします。どちらも自明な決定論的です。act_gact クランプは >= 1 にtcfg_pvalため、pval = 1 の場合、gact_determ() はすべてのパケットのフォールバックを返します。act_police には必須レートがないため、レート = 0 は tcfp_mtu = ~0 のままになり、tcf_police_mtu_check() は常に合格します。TC_ACT_CONSUMEDは、両方の goto-chain ガードが書き込まれた後に、コミット 720f22fed81b(net:sched:リファクター再挿入アクション)により追加されました:コミット 9469f375ab09(net/sched:act_gact:フォールバックコントロールアクションで「goto chain」を許可しません)およびコミット c08f5ed5d625(net/sched:act_police:フォールバックコントロールアクションで「goto chain」を許可しません)。新しい評決が発表されたとき、どちらのガードも広がっていなかった。既存の範囲テストを tcf_action_check_ctrlact() から tcf_action_valid() として因数分解し、両方のフォールバックに適用します。ヘルパーは tcf_action_check_ctrlact() を直接呼び出すことはできません。これは、goto_chainも割り当てるためで、これら 2 つのサイトはまさにこの 2 つのサイトがしてはならないことです。v7.2-rc6 で再現:kmemleak は、漏洩した 232 バイトの skbuff_head_cache オブジェクト 1 つと、パケットあたり 704 バイトのデータバッファを報告します。このパッチでは、どちらの構成も
    -EINVAL および kmemleak は何も報告しません。(CVE-2026-74620)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-74620

medium Nessus プラグイン ID 338939

バージョン 1.6