JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032048 Linuxカーネルにおいて、以下の脆弱性が修正されました。nvmet-authに関して、返信メッセージのペイロード境界を転送長と照合して検証するnvmet_auth_reply()関数は、割り当てられたバッファサイズtlバイト内に収まるかどうかを検証せず、攻撃者が制御するhl（ハッシュ長）およびdhvlen（DH値長）フィールドを使用して可変長のrval[]配列にアクセスします。悪意のあるNVMe-oFイニシエータは、小さな転送長に対して大きなhl/dhvlen値を持つDHCHAP_REPLYメッセージを作成し、ターゲットがDH公開鍵（rval + 2*hl）を処理したりホスト応答のmemcmpを実行した際にヒープ外読み取りを引き起こす可能性があります。DH認証が設定されている場合、OOBポインタはsg_init_one()に直接渡され、crypto_kpp_compute_shared_secret()によって読み取られ、バッファを最大526バイト超過してアクセスされます。この脆弱性は認証前でも悪用可能です。可変長フィールドにアクセスする前に、sizeof(*data) + 2*hl + dhvlen ＜= tlという境界チェックを追加しました。この脆弱性は、Atuinという自動脆弱性発見エンジンによって発見されました。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032048.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64319 https://www.cve.org/CVERecord?id=CVE-2026-64319 National Vulnerability Database (NVD) CVE-2026-64319 https://nvd.nist.gov/vuln/detail/CVE-2026-64319 JVNDB CWE-125 https://cwe.mitre.org/data/definitions/125.html 関連文書 nvmet-auth: validate reply message payload bounds against transfer length - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/caa71b3a43ea5c13fe7141cb019ebcb03b8ac857) https://git.kernel.org/stable/c/caa71b3a43ea5c13fe7141cb019ebcb03b8ac857 関連文書 nvmet-auth: validate reply message payload bounds against transfer length - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/80cd28b56ab62d3e7ed0a7bf05282e6d3ee5b2a0) https://git.kernel.org/stable/c/80cd28b56ab62d3e7ed0a7bf05282e6d3ee5b2a0 関連文書 nvmet-auth: validate reply message payload bounds against transfer length - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/999f6205ede984a786f35f727b01f971b98e215d) https://git.kernel.org/stable/c/999f6205ede984a786f35f727b01f971b98e215d 関連文書 nvmet-auth: validate reply message payload bounds against transfer length - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/3a413ece2504c70aa34a20be4dafec04e8c741f9) https://git.kernel.org/stable/c/3a413ece2504c70aa34a20be4dafec04e8c741f9 関連文書 nvmet-auth: validate reply message payload bounds against transfer length - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/6d7649c1231dac14d906985d2936967e23041c26) https://git.kernel.org/stable/c/6d7649c1231dac14d906985d2936967e23041c26 2026-09-04T17:50:20+09:00 2026-09-04T17:50:20+09:00