Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ipv4:RCU 猶予期間が経過した後、inet_optとireq_optを解放します tcp_v4_syn_recv_sock() は、ireq->ireq_opt の所有権をコピーせずに子ソケット(newinet->inet_opt)に転送します。別の cpu が、同一のリクエストソケットに対して再送信された SYN を同時に処理し、tcp_check_req() から SYNACK を送信できます。
    tcp_v4_send_synack() と inet_csk_route_req() は、rcu_read_lock() のみで ireq->ireq_opt を読み取り、その後 ip_build_and_send_pkt() と ip_options_build() が opt->optlen を 2 回読み取ります。SYNACK タイマー自体は問題ではないことに注意してください。それはリクエストソケットで参照を保持し、子を解放する前に inet_csk_reqsk_queue_drop() が timer_delete_sync() を呼び出します。079096f103fa をコミット(tcp/dccp:syn_recv リクエストを ehash テーブルにインストール)以降、リクエストソケットはリスナーのロックを保持せずに処理されるため、SYNACK の構築中の子ソケットの解放を妨げるものは何もありません。TCP の子ソケットは SOCK_RCU_FREE を持たず、inet_sock_destruct() はプレーンな kfree() でinet_optを解放するため、ip_options_build() で use-after-free が発生します。同様の問題がリクエストソケット移行(net.ipv4.tcp_migrate_req=1、またはBPF_SK_REUSEPORT_SELECT_OR_MIGRATEプログラム)に存在します。reqsk_timer_handler() はリクエストソケットを inet_reqsk_clone() で複製し、古いリクエストソケットとそのクローンが同じireq_opt共有するようにしてから、reqsk_migrate_reset() は古いリクエストソケットのポインターを消去します。古いリクエストソケットの参照を保持している別の CPU は、クローンが解放され、tcp_v4_reqsk_destructor() もプレーンな kfree() を使用する場合に、これらのオプション(SYNACK を送信する、または tcp_v4_syn_recv_sock() での子の作成)を引き続き使用できます。リーダーは既に RCU を使用しており、他のパスは inet_opt に置き換わる(do_ip_setsockopt()、cipso_v4_sock_setattr()...) は既に kfree_rcu() を使用しています。kfree_rcu() は inet_sock_destruct() や tcp_v4_reqsk_destructor() でも使用します。IPv6 は、tcp_v6_syn_recv_sock() がオプションを重複するため、最初の問題の影響を受けません。tcp_v6_reqsk_destructor() には、ipv6_opt での同じ移行問題があります。これは、CALIPSO によってのみ設定されます。これは別のパッチで対処されます。(CVE-2026-98432)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-98432

critical Nessus プラグイン ID 366212

バージョン 1.10