JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032224 Linuxカーネルにおいて、以下の脆弱性が修正されました。udf: sparingテーブルの長さをバイト数ではなくエントリ数として検証します。udf_load_sparable_map()は、次の条件が偽の場合にsparingテーブルを受け入れます。sizeof(*st) + le16_to_cpu(st-＞reallocationTableLen) ＞ sb-＞s_blocksize。つまり、reallocationTableLenをブロックに収まるべきバイト数として扱っています。しかし、このテーブルは8バイトのsparingEntry要素の配列として処理されています。for (i = 0; i ＜ le16_to_cpu(st-＞reallocationTableLen); i++) { struct sparingEntry *entry = &st-＞mapEntry[i]; ... entry-＞origLocation ... }これはudf_get_pblock_spar15()およびudf_relocate_blocks()で行われています。したがって、reallocationTableLenがNの場合、チェックはsizeof(*st) + N ＜= blocksizeを満たす限り通過しますが、実際にはsizeof(*st) + N * sizeof(struct sparingEntry)バイトをインデックス参照しています。これはブロックサイズの約8倍に達します。細工されたUDFイメージでは、udf_get_pblock_spar15()で境界外読み取りが発生し、udf_relocate_blocks()では同じ長さをudf_update_tag()に渡します。udf_update_tag()内のcrc_itu_t()はブロックを大幅に超えて読み取りを行い、st-＞mapEntry[]を介したmemmove()は境界外書き込みとなります。reallocationTableLenを実際のエントリ数としてstruct_size()を用いて正しく検証する必要があります。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032224.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64322 https://www.cve.org/CVERecord?id=CVE-2026-64322 National Vulnerability Database (NVD) CVE-2026-64322 https://nvd.nist.gov/vuln/detail/CVE-2026-64322 JVNDB CWE-787 https://cwe.mitre.org/data/definitions/787.html 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/0a9b79a951cfd70a9d31ca01ae2d08a20bb730e9) https://git.kernel.org/stable/c/0a9b79a951cfd70a9d31ca01ae2d08a20bb730e9 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/3ec997bd5508e9b25210b5bbec89031629cdb093) https://git.kernel.org/stable/c/3ec997bd5508e9b25210b5bbec89031629cdb093 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/2a219acb2ce674d99bbd1b7b35ed8c384dac7200) https://git.kernel.org/stable/c/2a219acb2ce674d99bbd1b7b35ed8c384dac7200 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/2d726135099313958f8975532a2e15322ff150ce) https://git.kernel.org/stable/c/2d726135099313958f8975532a2e15322ff150ce 関連文書 https://git.kernel.org/stable/c/04f4599a9efb90992d072a814960edf0cd62805d https://git.kernel.org/stable/c/04f4599a9efb90992d072a814960edf0cd62805d 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/7285276aa50d2839afb5957ffd491ad282dc8f72) https://git.kernel.org/stable/c/7285276aa50d2839afb5957ffd491ad282dc8f72 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/7f7774b9da0ef17b87bfa238cf966ad0b3376150) https://git.kernel.org/stable/c/7f7774b9da0ef17b87bfa238cf966ad0b3376150 関連文書 udf: validate sparing table length as an entry count, not a byte count - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/eeb0f3e193f8e523d03e4c9e084f6b4875f50e8e) https://git.kernel.org/stable/c/eeb0f3e193f8e523d03e4c9e084f6b4875f50e8e 2026-09-07T14:08:59+09:00 2026-09-07T14:08:59+09:00