Trusted Design

CVE-2026-53362 の詳細

CVEの情報

説明:
In the Linux kernel, the following vulnerability has been resolved: ipv6: account for fraggap on the paged allocation path In __ip6_append_data(), when the paged-allocation branch is taken (MSG_MORE / NETIF_F_SG / large fraglen), alloclen and pagedlen are computed as alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen already includes fraggap (datalen = length + fraggap). When fraggap is non-zero, this is not the first skb and transhdrlen is zero. The fraggap bytes carried over from the previous skb are copied just past the fragment headers in the new skb's linear area. The linear area is therefore undersized by fraggap bytes while pagedlen is overstated by the same amount, and the copy writes past skb->end into the trailing skb_shared_info. An unprivileged user can trigger this via a UDPv6 socket using MSG_MORE together with MSG_SPLICE_PAGES. The bad accounting was introduced by commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Before commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), the negative copy value caused -EINVAL to be returned. That later commit allowed MSG_SPLICE_PAGES to proceed in this case, making the corruption triggerable. The non-paged branch sets alloclen to fraglen, which already accounts for fraggap because datalen does. Bring the paged branch in line by adding fraggap to alloclen and subtracting it from pagedlen. After this adjustment, copy no longer collapses to -fraggap on the paged path, so remove the stale comment describing that old arithmetic. Since a negative copy is no longer expected for a valid MSG_SPLICE_PAGES case, remove the MSG_SPLICE_PAGES exception from the negative copy check.

CVE更新日: 2026-07-04 12:17:02.113000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2026-08-27

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.005100000

EPSS更新日: 2026-08-30 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

1. 脆弱性の概要

Linux カーネルの IPv6 実装に存在する メモリ破壊（Out‑of‑Bounds Write） 脆弱性。
__ip6_append_data() の paged‑allocation パスにおいて fraggap（前フラグメントの余剰バイト） の扱いが不適切で、

  • 線形領域（linear area）が不足した状態でデータコピーが行われ、skb_shared_info まで書き込みがはみ出す。
  • 攻撃者は UDPv6 ソケットで MSG_MORE と MSG_SPLICE_PAGES を併用することでこの欠陥をトリガーできる。

結果として ローカルの非特権ユーザーがカーネルメモリ破壊 → 特権昇格の可能性 が生じる。

1.1 影響

  • 非特権ローカルユーザーによるカーネルメモリ破壊（Out‑of‑Bounds Write）
  • 特権昇格の可能性（カーネルデータ構造の破壊により）
  • カーネルパニック・DoS の可能性（メモリ破壊の副作用）

1.2 深刻度

  • CVSS v3.1: 7.8（High）
    Vector: AV:L / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H
    （Oracle Linux / Rapid7 による評価）

2. 対象となる環境

2.1 影響を受ける OS / カーネルバージョン

Linux カーネルの以下のコミットを含むバージョンが影響：

  • 773ba4fe9104（“ipv6: avoid partial copy for zc”）
  • ce650a166335（“udp6: Fix __ip6_append_data()’s handling of MSG_SPLICE_PAGES”）

Oracle Linux の影響範囲（公式 Errata）：

  • Oracle Linux 10（kernel / kernel‑uek）
  • Oracle Linux 9（kernel‑uek）

※具体的な修正パッチは ELSA‑2026‑34911 / ELSA‑2026‑500004 / ELSA‑2026‑500150 で提供。
その他のディストリビューションも、上記コミットを含む upstream kernel を採用していれば影響する（SentinelOne 記述）。

2.2 影響を受ける設定

  • UDPv6 ソケットで MSG_MORE と MSG_SPLICE_PAGES を併用するコードパスが実行される環境。
  • IPv6 が有効なカーネル設定。
  • 特定のネットワークスタック条件（NETIF_F_SG / 大きなフラグメント長）で paged‑allocation パスが選択される場合。

3. 影響を受けた時の兆候（IoC）

公式の IoC は 不明だが、脆弱性の性質から確認可能な兆候：

  • UDPv6 送信時に カーネルパニック（Oops）やクラッシュログ が発生する可能性。
  • ネットワークスタック周辺の skb_shared_info の破損に起因する異常挙動。
  • 特権昇格が成功した場合、不審な root 権限プロセス生成（推測ベース、公式未公開）。

4. 推奨対策

4.1 本対策（恒久対策）

  • Linux カーネルの修正版へアップデート
  • fraggap の扱いを修正したパッチが upstream に取り込まれている（Oracle Errata / SentinelOne）。

  • Oracle Linux の場合：

    • ELSA‑2026‑34911（OL10）
    • ELSA‑2026‑500004 / 500150（OL9/10 UEK）
      を適用する。

4.2 暫定回避策（緩和策）

公式の暫定回避策は不明だが、有効と考えられる緩和策：

  • MSG_SPLICE_PAGES を利用するアプリケーションの停止・制限（脆弱性のトリガー条件）。
  • IPv6 UDP の特定の送信パスを避ける（アプリケーション側のワークアラウンド）。
  • カーネル更新が困難な場合、影響するネットワーク機能の利用を最小化。

5. その他補足

  • 脆弱性は Out‑of‑Bounds Write（メモリ破壊） に分類される。
  • 攻撃は ローカル攻撃のみ（AV:L）。
  • 非特権ユーザーがトリガー可能なため、マルチユーザー環境ではリスクが高い。

NVDサイト

NVDでCVEの詳細を見る

戻る