Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - bpf:sock_ops の rtt_min の領域外読み取りを修正します skops->rtt_min を読み取る sockops prog は、sk タイプをチェックしません:tcp_conn_request() パスで、sock_ops->sk は request_sock(非完全)であり、ctx リライトによりそれを tcp_sock(完全)にキャストされ、request_sockの終わりを超えてrtt_minを読み取ります。 ダーティな隣接メモリを返す。SEC(sockops) int prog(struct bpf_sock_ops *skops) { switch (skops->op) { case BPF_SOCK_OPS_RWND_INIT: leak = skops->rtt_min; /* request_sock OOB を読み込みます */ ... } }たとえば、そのような読み取りの 1 つは、漏洩したカーネルポインターの上半分である rtt_min=0xffff8881 を返しました。そのキャストのガードはまさに SOCK_OPS_GET_FIELD() が行うことです -- sock_ops->sk がロックされたフルソケットでない場合は、is_locked_tcp_sock をチェックして 0 を返します。sock_opsの他のすべてのtcp_sockフィールドはそれを通過します。rtt_min は唯一オープンコードされているため、チェックをスキップします。SOCK_OPS_GET_FIELD() までもrtt_min読み取ります。rtt_minは少し特殊です:これは構造体のminmaxであり、現在のminのみが必要なため、rtt_min.s[0].vを渡します。これは、古い手動で計算されたオフセットoffsetof(struct tcp_sock, rtt_min) + sizeof_field(struct minmax_sample, t) (s[0]はrtt_min + 0に、 +sizeof(.t)に.v、つまりminmax_get()が返すもの)に等しいため、ロードされたフィールドは変更されず、フルソックガードのみが追加されます。手動で計算されたオフセットを保護していた 2 つの BUILD_BUG_ON() は、もはや必要ありません。パッチ前:0:r1 = *(u64 *)(r1 +0) ;r1 = skops->sk 1: r1 = *(u32 *)(r1 +2324) ;((tcp_sock *)sk)->rtt_min.s[0].v パッチ後:0: *(u64 *)(r1 +56) = r9 1: r9 = *(u8 *)(r1 +50) ;is_locked_tcp_sock 2:r9 == 0 の場合、pc+4 に移動します。ロックされていないフルソック -> 0 3:
    r9 = *(u64 *)(r1 +56)4:r1 = *(u64 *)(r1 +0) ;r1 = skops->sk 5: r1 = *(u32 *)(r1 +2324) ;rtt_min.s[0].v 6:goto pc+2 7:r9 = *(u64 *)(r1 +56)8:r1 = 0(CVE-2026-98643)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-98643

high Nessus プラグイン ID 367485

バージョン 1.10