Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netfilter:nf_tables:パケットパスオブジェクト通知をキューに入れません 以下のすべての file:line 参照は v7.2-rc4(ac5b0e5651b1)に反します。トレースは、同じ行が適用される 7.2.0-rc6-kasan72rc6(075b74841bd0)でキャプチャされました。nft_obj_notify() がエクスポートされ、パケットパスから到達します。唯一のツリー内呼び出し元は nft_quota_obj_eval()(net/netfilter/nft_quota.c:68)であり、mutex を保持していない移行パケットのルールを評価する際にGFP_ATOMICで通知します。67cc570edaa0(netfilter:nf_tables:複数の通知を 1 つの skbuff にまとめる)をコミットするため、その通知はすぐには送信されなくなりました。
    __nft_obj_notify() は、nft_notify_enqueue()(net/netfilter/nf_tables_api.c:1211)を介して、それを nft_net->notify_list にキューに入れます。これはベア list_add_tail() です。notify_list独自のロック(include/net/netfilter/nf_tables.h:1951)を持たず、commit_mutexによってシリアル化されます。他の 6 つのエンキューサイトはすべて netlink トランザクション内で実行され、nft_commit_notify()(net/netfilter/nf_tables_api.c:10746)のドレインは、commit_mutex を保持した状態で nf_tables_commit() から list_del() + kfree_skb() を行います。このため、枯渇したクォータオブジェクトを参照するチェーンを通じてパケットを送信すると、ロック解除された list_add_tail() と別の CPU 上の list_del() + kfree_skb() が競合します。その後、__list_add() の WRITE_ONCE(prev->next, new) は、既に解放されているsk_buffを通じて保存されます: バグ: KASAN:__nft_obj_notify+0x2c5/0x2d0 の slab-use-after-free タスク poc/76 による addr ff110001047183c0 におけるサイズ 8 の書き込み CPU:0 UID:1000 PID:76 Comm:poc 汚染:G W 7.2.0-rc6-kasan72rc6 #4 コールトレース: <IRQ> __nft_obj_notify (include/linux/list.h:164 include/linux/list.h:191 net/netfilter/nf_tables_api.c:1211 net/netfilter/nf_tables_api.c:8743) nft_quota_obj_eval (net/netfilter/nft_quota.c:68) nft_do_chain_inet nf_hook_slow __ip_local_out ip_push_pending_frames udp_send_skb udp_sendmsg __x64_sys_sendto タスク 77 により割り当てられます: __alloc_skb (net/core/skbuff.c:704) __nft_obj_notify (include/net/netlink.h:1055 net/netfilter/nf_tables_api.c:8731) nft_quota_obj_eval (net/netfilter/nft_quota.c:68) nft_do_chain タスク 79 により解放されます。 nf_tables_commit(include/linux/skbuff.h:1332 net/netfilter/nf_tables_api.c:10759 net/netfilter/nf_tables_api.c:11185) nfnetlink_rcv_batch(net/netfilter/nfnetlink.c:574)netlink_unicast netlink_sendmsg バグのあるアドレスは、サイズ 232 のキャッシュskbuff_head_cacheに属しています パケットパスからのキューイングは、競合を脇に置いても間違っています:notify_list は、nf_tables_commit() からの nft_commit_notify() によってのみ排出されます(:11185)、 そのため、トランザクションの外側にキューに入れられた通知は、その後 netlink バッチがコミットするまで送信されません (コミットが発生した場合)。nft_obj_notify() が今でも取る gfp 引数は、このパスが nfnetlink_send() を直接呼び出していた、67cc570edaa0 以前の動作の名残です。それを復元します:メッセージ構造を nft_obj_notify_alloc() に分割し、各呼び出し元に skb をどうするかを決定させます。パケットパスから到達したエクスポートされたものnft_obj_notify()は、それをすぐに送信します。
    commit_mutex の下で実行される nf_tables_obj_notify() はキューに入れ続けるため、トランザクション通知は引き続き合体されます。(CVE-2026-80837)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-80837

medium Nessus プラグイン ID 343018

バージョン 1.6