Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - openvswitch:ドロップしようとしているパケットの skb_tx_error() のみ queue_userspace_packet() はパケット skb を借用します -- それはそれをプライベート netlink メッセージ(user_skb)にコピーするだけで、それを所有しません。ON RETURN do_execute_actions() は、フローの残りのアクションを通じてそれを転送し続けます。それにもかかわらず、そのエラーパスは skb_tx_error(skb) を呼び出しますskb_zcopy_clear() を介して skb_shinfo(skb)->flags &= ~SKBFL_ALL_ZEROCOPY を行い、そのライブ skb からSKBFL_SHARED_FRAGを取り除きます(skb_tx_error() の kerneldoc は、skb を後で解放する必要があると述べています)。ページキャッシュフラグを運ぶMSG_ZEROCOPY skbの場合、SKBFL_SHARED_FRAGインプレースAEADの前にesp_input()skb_cow_data()を作成します。それがストリップされると、その後ローカル ESP-in-UDP 配信が送信者が所有しないページ、つまり権限のないページキャッシュ書き込み(Fragnesia プリミティブ)の場所で復号化されます。do_execute_actions() は output_userspace() の戻り値を無視するため、USERSPACE アップコールが失敗した後のアクションは、取り除かれた skb を継承します。skb_tx_error() を flow-miss ドロップパスに移動します - ovs_dp_process_packet() の switch(error) のデフォルトブランチ)で、kfree_skb() より前です。この呼び出しは、36d5fe6a0007 (core、nfqueue、openvswitch:オーファン フラグ イン skb_zerocopy およびエラー処理) 以降行われていますが、esp_input() がインプレース復号化をゲートするために SKBFL_SHARED_FRAG に依存し始めるまでは無害でした。そうして初めて、まだ転送されている skb でそれをストリップすることが、ページキャッシュ書き込みプリミティブになりました。(CVE-2026-89487)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-89487

high Nessus プラグイン ID 345037

バージョン 1.8