JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031747 Linuxカーネルにおいて、以下の脆弱性が修正されました：net: tls: sk_msgリングのラップ時のsg_chainエントリ数のオフバイワンを修正しました。sk_msgのscatterlistリングがラップするとき（sg.end ＜ sg.start）、tls_push_record()はsg_chain()を使ってリングの末尾部分を先頭に連結します。このため、sg配列には追加のエントリが予約されています。 struct sk_msg_sg { [...] /* 追加の2つの要素： * 1) リストが分割される（例：end ＜ start）際に、前部分と後部分を連結するために使われます。暗号APIはこの連結を要求しています。 * 2) メッセージ後にテールのSGエントリを連結するためです。 */ struct scatterlist data[MAX_MSG_FRAGS + 2];現在のコードではリングサイズとしてMAX_SKB_FRAGS + 1を使用しています。 sg_chain(&msg_pl-＞sg.data[msg_pl-＞sg.start], MAX_SKB_FRAGS - msg_pl-＞sg.start + 1, msg_pl-＞sg.data);これによりチェインポインタは以下のように配置されてしまい、真の最後のエントリではありません。 sg_chain(data[start], (MAX_SKB_FRAGS - start + 1)) = &data[start] + (MAX_SKB_FRAGS - start + 1) - 1 = data[start + (MAX_SKB_FRAGS - start + 1) - 1] = data[MAX_SKB_FRAGS]これは、おそらくFixesがcommit 031097d9e079（"bpf: sk_msg, zap ingress queue on psock down"）に近い状態で適用された「競合」が原因です。提案された方法としては、Sabrinaの指摘に従い、data[start]や-startを削除し、ARRAY_SIZEを使うように変更してください。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031747.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64047 https://www.cve.org/CVERecord?id=CVE-2026-64047 National Vulnerability Database (NVD) CVE-2026-64047 https://nvd.nist.gov/vuln/detail/CVE-2026-64047 JVNDB CWE-193 https://cwe.mitre.org/data/definitions/193.html 関連文書 net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/2fb0dc7e0099686c4e9d2732745d8a31b18c3628) https://git.kernel.org/stable/c/2fb0dc7e0099686c4e9d2732745d8a31b18c3628 関連文書 net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/47110c3a9ac247b688657337f5981efcfcb240dc) https://git.kernel.org/stable/c/47110c3a9ac247b688657337f5981efcfcb240dc 関連文書 https://git.kernel.org/stable/c/131ef12057d92b77b636321b7849c69222405a97 https://git.kernel.org/stable/c/131ef12057d92b77b636321b7849c69222405a97 関連文書 net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/73963a375885d5ccb7def39fd0b4f542e0f343dd) https://git.kernel.org/stable/c/73963a375885d5ccb7def39fd0b4f542e0f343dd 関連文書 net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/84158c2997159df4a0d70cd9c46774512d32a522) https://git.kernel.org/stable/c/84158c2997159df4a0d70cd9c46774512d32a522 関連文書 net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/eca989eab4b2599dcb02f72140a7c08f08838520) https://git.kernel.org/stable/c/eca989eab4b2599dcb02f72140a7c08f08838520 関連文書 https://git.kernel.org/stable/c/285943c6e7ca309bbea84b253745154241d9788a https://git.kernel.org/stable/c/285943c6e7ca309bbea84b253745154241d9788a 関連文書 net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/66339b71f105e6f83e0da3b9583d95077534fe1d) https://git.kernel.org/stable/c/66339b71f105e6f83e0da3b9583d95077534fe1d 2026-09-03T15:44:27+09:00 2026-09-03T15:44:27+09:00