JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031749 Linuxカーネルにおいて、以下の脆弱性が修正されました。ovpn: tcp - ovpn_tcp_close()内でキャッシュされたpeerポインターを使用します。ovpn_tcp_close()はrcu_read_lock()の下でrcu_dereference_sk_user_data()を使いovpn_socketを読み込み、sock-＞peerの参照を取得し、peerポインターをローカル変数にキャッシュした後、読み取りロックを解除します。その後、キャッシュされたローカル変数ではなくsock-＞peerをovpn_peer_del()に渡し、RCU読み取りセクション終了後にovpn_socketを再参照しています。同じ「RCU下で読み込み、ロック解除後に使用する」というパターンを用いていますが、ovpn_tcp_sendmsg()は関数全体でlock_sock()による保護がある一方、ovpn_tcp_close()はソケットロックなしで動作します。inet_release()はlock_sockを取得せずにsk_prot-＞close()を呼び出します。したがって、ovpn_socket_release()はovpn_tcp_close()がrcu_read_lock()を解除した後、sock-＞peerを再参照する前にkref_put -＞ detach -＞ synchronize_rcu -＞ kfree(sock)のシーケンスを並行して完了させることが可能です。ovpn_socket_release()内のsynchronize_rcu()はRCU読み取りセクション内でポインターを使用するリーダーを保護しますが、そのポインターをローカル変数に逃して後で使用する場合には保護しません。再現手順はコミット94560267d6c4（"ovpn: tcp - tcp_close()後にNULLのsk_socketメンバーをデリファレンスしない"）のパターンに従います。ユーザースペースがTCPファイルディスクリプタを閉じる瞬間にピア削除（キープアライブ期限切れやnetlinkのOVPN_CMD_DEL_PEER）をトリガーします。このコミットでは同じレースウィンドウのdetach側が修正されており、今回の修正は異なる対象であるclose側を修正します。エントリーブロックを厳密にし、sock-＞peerを1回だけキャッシュされたpeerローカル変数に読み込んで、その後のすべての使用（ホールドチェック、ovpn_peer_del()呼び出し、prot-＞close()呼び出し）をそのローカル変数を経由して行うようにします。sock-＞peerはovpn_socket_new()内でlock_sock()中に一度だけ書き込まれ、rcu_assign_sk_user_data()でovpn_socketが公開された後は再代入されませんが、以前の複数回読込のパターンではこの不変条件が暗黙的でした。同じ複数回読込パターンはovpn_tcp_recvmsg()、ovpn_tcp_sendmsg()、ovpn_tcp_data_ready()、ovpn_tcp_write_space()にも存在します。これらは後続のnet-nextシリーズの専用ヘルパーによってクリーンアップされます。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031749.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64045 https://www.cve.org/CVERecord?id=CVE-2026-64045 National Vulnerability Database (NVD) CVE-2026-64045 https://nvd.nist.gov/vuln/detail/CVE-2026-64045 JVNDB CWE-476 http://cwe.mitre.org/data/definitions/476.html 関連文書 https://git.kernel.org/stable/c/d3ef441907fca7c340979e577a3db3bb634bf166 https://git.kernel.org/stable/c/d3ef441907fca7c340979e577a3db3bb634bf166 関連文書 ovpn: tcp - use cached peer pointer in ovpn_tcp_close() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/e5460eb7238c19d651a9b22b2378b587033a4095) https://git.kernel.org/stable/c/e5460eb7238c19d651a9b22b2378b587033a4095 関連文書 ovpn: tcp - use cached peer pointer in ovpn_tcp_close() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/775d8d7ad02aa345e1588424a6a8b9ae49fb9012) https://git.kernel.org/stable/c/775d8d7ad02aa345e1588424a6a8b9ae49fb9012 2026-09-03T15:44:33+09:00 2026-09-03T15:44:33+09:00