Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - wifi:mac80211:extra_lenオーバーフローを回避するためにサイズが大きすぎるフラグメントをドロップします ieee80211_rx_h_defragment() では、後続のフラグメントが到着すると、フラグメントペイロードが entry->extra_len に蓄積されます: entry->extra_len += rx->skb->len;最後のフラグメントが到着したとき、ヘッドフラグメントは dequeue され、pskb_expand_head() が entry->extra_len 付きで呼び出されて、コピーする前にキューに入れられたすべてのフラグメントに十分なテールルームを確保します: if (skb_tailroom(rx->skb) < entry->extra_len) { if (unlikely(pskb_expand_head(rx->skb, 0, entry->extra_len, GFP_ATOMIC))) { ... } } while ((skb = __skb_dequeue(&entry->skb_list))) { skb_put_data(rx->skb, skb->data、skb->len);dev_kfree_skb(skb);} コミット 69f132236827(mac80211:構造体の縮小ieee80211_fragment_entry)において、構造メモリのフットプリントを削減するために、entry->extra_len が符号なし整数から u16 に絞り込まれました。ただし、IEEE 802.11 フレームシーケンスには、最大 16 個のフラグメントを含めることができます(フラグ番号 0..15)。大きなフラグメントのシーケンスが(悪意のあるピアや不正なAPからなど)到着した場合、フラグメントの長さの合計は65535バイトを超える可能性があります(たとえば、4400バイトのフラグメント15個は合計66000バイトになります)。
    extra_len は u16 であるため、この加算はオーバーフローし、モジュロ 65536 をラップします(たとえば、66000 は 464 にラップされます)。その結果、pskb_expand_head() は切り捨てられた量の tailroom のみを割り当てます(もしくは、ヘッドフラグメントにすでに >= 464 バイトの tailroom がある場合は完全にスキップされます)。その後、skb_put_data()がキューに入れられたskbリストを反復するとき、フルペイロードをサイズの小さいバッファに追加するため、skb_put()がskb_over_panic()をトリガーし、softirqコンテキストでカーネルがクラッシュします。IEEE 802.11 での正当な MSDU は、最大 2304 バイト(フラグメント化されていない A-MSDU の場合は最大 7935/11454 バイト)であり、U16_MAX をはるかに下回っています。着信フラグメントの長さを追加するとU16_MAXを超えるかどうかをチェックすることで、struct ieee80211_fragment_entryのサイズを増やすことなくこれを修正します。その場合は、キューに入れられたフラグメントをパージし、フレームをドロップします。[ドロップの理由を別に割り当てます](CVE-2026-98829)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-98829

medium Nessus プラグイン ID 367102

バージョン 1.4