JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024888 Linuxカーネルにおいて、以下の脆弱性が解消されました。netfilter: nf_conntrackにおいて、モジュールの登録解除時に古いexpectfn期待を破棄します。nf_nat_h323などのNATヘルパーは、exp-＞expectfn（例：ip_nat_q931_expect）にモジュールのテキストへの生ポインタを保持しています。nf_ct_helper_expectfn_unregister()はコールバック記述子のリンク解除のみを行い、期待テーブルを走査しません。そのため、モジュール削除時に保留中の期待が、解放済みモジュールのテキストを指すダングリングなexp-＞expectfnのまま残存してしまいます。期待された接続が到着すると、init_conntrack()は現在アンロードされたモジュールの古いポインタであるexp-＞expectfn()を呼び出します。これは、H.323ヘルパーをロードし、Q.931期待を作成し、nf_nat_h323をアンロードし、期待されたポートに接続することで、KASANビルド上で再現されました。再現例は以下の通りです。Oops: int3: 0000 [#1] SMP KASAN NOPTI RIP: 0010:0xffffffffa06102d1 init_conntrack.isra.0 (net/netfilter/nf_conntrack_core.c:1862) nf_conntrack_in (net/netfilter/nf_conntrack_core.c:2049) ipv4_conntrack_local (net/netfilter/nf_conntrack_proto.c:223) nf_hook_slow (net/netfilter/core.c:619) __ip_local_out (net/ipv4/ip_output.c:120) __tcp_transmit_skb (net/ipv4/tcp_output.c:1715) tcp_connect (net/ipv4/tcp_output.c:4374) tcp_v4_connect (net/ipv4/tcp_ipv4.c:345) __sys_connect (net/socket.c:2167) ロードされているモジュールはnf_conntrack_h323で、最後にアンロードされたモジュールはnf_nat_h323です。このダングリング状態に至るには、初期ユーザーネームスペースでCAP_SYS_MODULE権限が必要であり、生きた期待が存在するNATヘルパーを削除する必要があります。そのため、これは堅牢性の修正と言えます。期待が解放されたテキストを指すのは不適切です。修正として、nf_ct_helper_expectfn_destroy()を追加し、期待テーブルを走査して、破棄される記述子と-＞expectfnが一致するすべての期待を破棄します。既存のRCU猶予期間後に各NATヘルパーの終了パスからこの関数を呼び出すことで、どの期待も指すコードより長く生き残らず、追加のsynchronize_rcu()も必要ありません。修正後は、同じ再現シナリオでもOopsなしで正常に完了します。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024888.html Common Vulnerabilities and Exposures (CVE) CVE-2026-53349 https://www.cve.org/CVERecord?id=CVE-2026-53349 National Vulnerability Database (NVD) CVE-2026-53349 https://nvd.nist.gov/vuln/detail/CVE-2026-53349 JVNDB CWE-noinfo https://www.ipa.go.jp/security/vuln/scap/cwe.html 関連文書 https://git.kernel.org/stable/c/9d017671dcfcec23321fb7962dea624f9e71ddb1 https://git.kernel.org/stable/c/9d017671dcfcec23321fb7962dea624f9e71ddb1 関連文書 netfilter: nf_conntrack: destroy stale expectfn expectations on unregister - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/f92c90a2a3e6ff6f9f7fe88fde9004b4ca8f956d) https://git.kernel.org/stable/c/f92c90a2a3e6ff6f9f7fe88fde9004b4ca8f956d 関連文書 netfilter: nf_conntrack: destroy stale expectfn expectations on unregister - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/bf8c0b5dd203be94c2ad50e264cec19267c6bd39) https://git.kernel.org/stable/c/bf8c0b5dd203be94c2ad50e264cec19267c6bd39 関連文書 netfilter: nf_conntrack: destroy stale expectfn expectations on unregister - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/c3009418f9fa1dcb3eb86f4d8c92583537b5faa3) https://git.kernel.org/stable/c/c3009418f9fa1dcb3eb86f4d8c92583537b5faa3 関連文書 https://git.kernel.org/stable/c/29d8cc44bbdf7b83a1929912214afe6643c1b4f1 https://git.kernel.org/stable/c/29d8cc44bbdf7b83a1929912214afe6643c1b4f1 関連文書 netfilter: nf_conntrack: destroy stale expectfn expectations on unregister - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/fbfde85308b99938a6092c48753214d190ece48d) https://git.kernel.org/stable/c/fbfde85308b99938a6092c48753214d190ece48d 2026-07-24T10:04:57+09:00 2026-07-24T10:04:57+09:00