JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032003 Linuxカーネルにおいて、以下の脆弱性が修正されました。staging: vme_userにおいて、スレーブの読み書きをkern_bufサイズに制限する問題です。SLAVEパスのヘルパー関数buffer_to_user()およびbuffer_from_user()は、固定サイズのkern_buf（size_buf == PCI_BUF_SIZE == 0x20000、128KiB）に対し、*pposをオフセットとして用いて'count'バイトをコピーしますが、*ppos + count が size_buf を超えないように制限していませんでした。vme_user_write()/vme_user_read()ではcountをVMEウィンドウサイズ（image_size = vme_get_size(resource)）に制限しています。このVMEウィンドウサイズはユーザーから与えられるslave.sizeをVME_SET_SLAVEが設定し、VMEアドレス空間（最大 VME_A32_MAX = 4GiB）に対して検証していますが、PCI_BUF_SIZEに対しては検証していませんでした。ウィンドウサイズが128KiBを超える場合、write()/read()はkern_bufの割り当て範囲を超えてコピーしてしまいます。両ヘルパー関数ではcountをsize_bufに対し制限し、*pposがバッファの終端またはそれ以降の場合は早期リターンを行うようにしました。ここで*pposは0以上（呼び出し元が負のオフセットを拒否するため）であるため、size_buf - *ppos がオーバーフローすることはありません。この修正は、MASTERパスのヘルパーresource_to_user()/resource_from_user()における既存の制限と一致しており、read()/write()の終端での短い転送という慣例にも合わせています。この問題は静的解析（CodeQLのテイントトラッキングとCBMCの有界モデル検査）によって発見され、その後KASANを利用したvme_fakeブリッジ上での動的確認により確証されました。具体的には以下のようなエラーが報告されています：BUG: KASAN: slab-out-of-bounds in _copy_from_user+0x2d/0x80 Write of size 262144 at addr ffff888004100000 by task trigger/68 _copy_from_user+0x2d/0x80 vme_user_write+0x13e/0x240 [vme_user] vfs_write+0x1b8/0x7a0 ksys_write+0xb8/0x150 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032003.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64449 https://www.cve.org/CVERecord?id=CVE-2026-64449 National Vulnerability Database (NVD) CVE-2026-64449 https://nvd.nist.gov/vuln/detail/CVE-2026-64449 JVNDB CWE-787 https://cwe.mitre.org/data/definitions/787.html 関連文書 staging: vme_user: bound slave read/write to the kern_buf size - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/9f32f38265014fac7f5dc9490fb01a638ce6e121) https://git.kernel.org/stable/c/9f32f38265014fac7f5dc9490fb01a638ce6e121 関連文書 staging: vme_user: bound slave read/write to the kern_buf size - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/1b495fa0d4927c88d88bf346bf311f2e26e860ed) https://git.kernel.org/stable/c/1b495fa0d4927c88d88bf346bf311f2e26e860ed 関連文書 staging: vme_user: bound slave read/write to the kern_buf size - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/e99f2df433c63c86c93de1e5f08f16e404388756) https://git.kernel.org/stable/c/e99f2df433c63c86c93de1e5f08f16e404388756 関連文書 staging: vme_user: bound slave read/write to the kern_buf size - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/65358d89dc9f1c25d9364b2b3ef0f3b47717f9ed) https://git.kernel.org/stable/c/65358d89dc9f1c25d9364b2b3ef0f3b47717f9ed 関連文書 staging: vme_user: bound slave read/write to the kern_buf size - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/adc8b9c30d716c362646edb45662aa1c641a154a) https://git.kernel.org/stable/c/adc8b9c30d716c362646edb45662aa1c641a154a 関連文書 staging: vme_user: bound slave read/write to the kern_buf size - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/8eff7cd4817e14dbe3b9952cce55ef52d1d38940) https://git.kernel.org/stable/c/8eff7cd4817e14dbe3b9952cce55ef52d1d38940 2026-09-04T17:47:47+09:00 2026-09-04T17:47:47+09:00