JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024875 Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6: ページ化割り当てパス上のfraggapを考慮する__ip6_append_data()関数内で、ページ化割り当ての分岐が選択された場合（MSG_MORE / NETIF_F_SG / 大きなfraglen）、alloclenとpagedlenは以下のように計算されます。alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen。datalenは既にfraggapを含んでいます（datalen = length + fraggap）。fraggapがゼロでない場合、このデータは最初のskbのものではなく、transhdrlenはゼロになります。前のskbから持ち越されたfraggapバイトは、新しいskbの線形領域にあるフラグメントヘッダーの直後にコピーされます。そのため、線形領域はfraggapバイト分だけ不足し、pagedlenは同じ分だけ過大に計算されており、このコピー処理がskb-＞endを超えてskb_shared_infoの末尾部分に書き込む原因となっていました。権限のないユーザーは、MSG_MOREとMSG_SPLICE_PAGESを組み合わせたUDPv6ソケットを用いることで、この脆弱性をトリガーできます。この不適切な計算はコミット773ba4fe9104（"ipv6: avoid partial copy for zc"）で導入されました。その前のコミットce650a166335（"udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"）までは、負のコピー値が -EINVAL を返していました。しかし、その後のコミットでMSG_SPLICE_PAGESがこの状態でも進行可能となり、データ破損が引き起こされるようになりました。ページ化されない分岐では、alloclenはfraglenに設定されており、これは既にfraggapを含むdatalenを考慮しています。今回の修正により、ページ化分岐も同様にalloclenにfraggapを加え、pagedlenからfraggapを減じる形で調整されました。この調整後、ページ化パスのコピーサイズが -fraggap になることはなくなり、古い計算を説明するコメントは削除されました。正当なMSG_SPLICE_PAGESケースにおける負のコピーは想定されなくなったため、負のコピー値チェックからMSG_SPLICE_PAGES例外も削除されました。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024875.html Common Vulnerabilities and Exposures (CVE) CVE-2026-53362 https://www.cve.org/CVERecord?id=CVE-2026-53362 National Vulnerability Database (NVD) CVE-2026-53362 https://nvd.nist.gov/vuln/detail/CVE-2026-53362 JVNDB CWE-noinfo https://www.ipa.go.jp/security/vuln/scap/cwe.html 関連文書 ipv6: account for fraggap on the paged allocation path - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/65fb14cbebb0cd0eff903a22d33537ddc8b95769) https://git.kernel.org/stable/c/65fb14cbebb0cd0eff903a22d33537ddc8b95769 関連文書 ipv6: account for fraggap on the paged allocation path - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/14200d435af9a9eeb444f529fc2f689a236b7962) https://git.kernel.org/stable/c/14200d435af9a9eeb444f529fc2f689a236b7962 関連文書 ipv6: account for fraggap on the paged allocation path - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/e9eacf19281ea2498b36291b56c9606118c2d74e) https://git.kernel.org/stable/c/e9eacf19281ea2498b36291b56c9606118c2d74e 関連文書 ipv6: account for fraggap on the paged allocation path - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/46f201f8b4c39633a1fa3dc12459f506d470993d) https://git.kernel.org/stable/c/46f201f8b4c39633a1fa3dc12459f506d470993d 関連文書 ipv6: account for fraggap on the paged allocation path - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/736b380e28d0480c7bc3e022f1950f31fe53a7c5) https://git.kernel.org/stable/c/736b380e28d0480c7bc3e022f1950f31fe53a7c5 関連文書 ipv6: account for fraggap on the paged allocation path - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/6374fb9edf72c67a118a2c214a0dddd04c921e0a) https://git.kernel.org/stable/c/6374fb9edf72c67a118a2c214a0dddd04c921e0a 2026-07-24T10:04:16+09:00 2026-07-24T10:04:16+09:00