18件のカーネル脆弱性 Linux システム内でルート権限を取得するエクスプロイトを使用

Nebula Securityの研究者らは、18件のカーネル脆弱性の詳細を明らかにした。 Linux そして、それらの脆弱性を悪用するエクスプロイトが開発され、権限のないローカルユーザーがシステム上でルート権限を取得できるようになっていました。これらの脆弱性は、春と夏のカーネルアップデートで修正されました。特定された問題:

• CVE-2026-43502 (エクスプロイト) は、RDS (Reliable Datagram Sockets) ネットワークサブシステムの脆弱性で、ゼロコピーモードでのデータ送信がメッセージがキューに追加される前に失敗した場合に、ピン留めされたメモリページのクリアが適切に行われないことが原因で発生します。この問題は ZcopyReaper というコードネームで呼ばれ、カーネルバージョン 4.17 以降で顕在化し、5 月にカーネルで修正されました。この脆弱性の悪用は、CONFIG_INET=y、CONFIG_AIO=y、CONFIG_RDS=y|m、および CONFIG_RDS_TCP=y|m オプション (通常はデフォルトで設定) を指定してコンパイルされたカーネルを搭載したシステムで可能です。この攻撃には、ユーザー ID 名前空間を操作する権限は必要ありません。このエクスプロイトは、標準の 6.4 カーネルを搭載した openSUSE で実証されています。
• CVE-2026-80714 (エクスプロイト) - IP仮想サーバー (IPVS) サブシステムにおける解放後使用の脆弱性は、接続同期中に IP_VS_CONN_F_ONE_PACKET フラグが誤って設定されることによって発生します。これにより、接続の有効期間が終了した後、既に解放された ip_vs_conn 構造体を指すダングリングポインタがハッシュテーブルに残されます。この問題は 8 月 19 日に修正されました。エクスプロイトは、 Debian 13、コア6.12。
• CVE-2026-74597 (エクスプロイト) — ip6_tunnel ドライバの脆弱性。外部パケットから計算された HAO (ホームアドレスオプション) のオフセットをカプセル化パケットに誤って適用することが原因で発生します。特別に細工されたヘッダーを持つカプセル化パケットを送信することで、割り当てられたバッファの末尾を超えてデータを書き込むことが可能です。この問題は 8 月 19 日に修正されました。エクスプロイトは、 CentOS カーネル6.12を使用。
• CVE-2026-74581（エクスプロイト）— IPv6ルーティングテーブルコードの脆弱性で、解放後使用（ルートのメモリを解放した後も、そのルートへのアクティブなポインタが残る）が原因でした。この問題は8月19日に修正されました。エクスプロイトは、 Debian 13、コア6.12。
• CVE-2026-74480（エクスプロイト） – ネットワークブリッジングサブシステムにおける脆弱性。マルチキャストグループの終了コードに解放後使用（use-after-free）の問題がある（リンクリストから要素を削除した後、ループが終了せず、反復処理中に削除後に残ったポートリストポインタにアクセスされる）。この問題は8月9日に修正された。エクスプロイトはカーネル6.12を搭載したRHEL 10で実証された。
• CVE-2026-72255 (エクスプロイト) - ネットワークブリッジに関連付けられたパケットが削除された後もNFQUEUEキューに残っている場合に、netfilterサブシステムのnf_queueモジュールにuse-after-freeの脆弱性が発生します。この問題は7月24日に修正されました。エクスプロイトは、 Ubuntu 26.04、コア7.0。
• CVE-2026-72137 (エクスプロイト) - IPSec XFRM モジュールの脆弱性で、キープアライブ パケットが正しく送信されない場合に skb 構造の二重解放を引き起こします。この問題は 6 月 30 日に修正されました。エクスプロイトは、 Ubuntu 26.04、コア7.0。
• CVE-2026-68376（エクスプロイト）は、SCTPプロトコル実装の脆弱性であり、HMAC識別子を格納するための配列サイズの計算が誤っているためにバッファオーバーフローを引き起こします。この問題は8月3日に修正されました。エクスプロイトは、 Ubuntu 26.04、コア7.0。
• CVE-2026-68162（エクスプロイト）は、SCTPプロトコル実装の脆弱性であり、制御ソケットを閉じた後にsysctlパラメータを変更しようとすると、解放後使用（use-after-free）が発生します。この問題は4月10日に修正されました。エクスプロイトは、 Ubuntu 26.04、コア7.0。
• CVE-2026-64560（エクスプロイト）は、posix-cpu-timerの脆弱性であり、スレッドグループリーダーの変更後にタイマーの削除とexec()呼び出しの間で競合状態が発生し、解放後使用（use-after-free）を引き起こすものです。この問題は7月5日に修正されました。このエクスプロイトは、プラットフォームを実行しているGoogle Pixelデバイスで実証されました。 Android.
• CVE-2026-52933（エクスプロイト） – io_uringサブシステムにおける脆弱性。IO_POLL_CANCEL_FLAGフラグが設定されている場合、参照カウンタと比較したatomic_read()の値が負の数として解釈されるため、解放されたメモリへのアクセスが発生してしまう。この問題は4月15日に修正された。このエクスプロイトはFedoraで実証された。 Linux カーネル6.19を使用。
• CVE-2026-52924（エクスプロイト）は、SCTPプロトコル実装の脆弱性であり、「stale cookie」エラー後にフローテーブルが解放された後も、送信キューに有効なポインタとデータが残るため、解放後使用（use-after-free）が発生します。この問題は6月19日に修正されました。エクスプロイトは、 Ubuntu 26.04、コア7.0。
• CVE-2026-52923（エクスプロイト）は、SysV IPCサブシステムにおける脆弱性であり、解放済みのインデックス要素へのダングリングポインタがIDR構造体内に残されることで、解放後のメモリアクセスが発生するものです。この問題は7月24日に修正されました。このエクスプロイトは、カーネル6.12を搭載したRHEL 10で実証されました。
• CVE-2026-52912（エクスプロイト） – ネットワークブリッジを削除した後、関連するパケットがNFQUEUEキューに残っている状態でポインタの処理が不適切だったために発生する、netfilterサブシステムのnf_queueモジュールの脆弱性。この問題は6月1日に修正されました。このエクスプロイトは、カーネル6.4を搭載したopenSUSEで実証されました。
• CVE-2026-43501（エクスプロイト） – IPv6 SRH（ソースルーティングヘッダー）の再パッケージングコードに存在する脆弱性。新しいヘッダーが古いヘッダーよりも大きくなる可能性がある状況での検証が不十分なため、データが範囲外に書き込まれる。この問題は5月7日に修正された。このエクスプロイトはkernelCTFコンテストで実演された。
• CVE-2026-43042（エクスプロイト）は、ロックの読み取りとテーブルサイズの変更が同時に行われる際に発生する競合状態により、境界外アクセスを引き起こすMPLSメカニズムの脆弱性です。この問題は4月11日に修正されました。エクスプロイトは、 Debian 13、コア6.12。
• CVE-2026-31678（エクスプロイト）は、Open vSwitchサブシステムにおける脆弱性で、RCU（Read-Copy-Update）サイクルが完了する前にネットワークデバイスへの参照が削除される際に発生する競合状態により、解放後のメモリアクセスが発生することが原因です。この問題は4月2日に修正されました。このエクスプロイトはFedoraで実証されています。 Linux カーネル6.19では44。
• CVE-2026-31659 (エクスプロイト) は、BATMAN (Better Approach to Mobile Ad-hoc Networking) プロトコル実装の脆弱性で、バッファサイズを計算する際に 16 ビット値を使用することで発生する整数オーバーフローによりバッファオーバーフローを引き起こします。この問題は 4 月 18 日に修正されました。エクスプロイトは Arch で実証されました。 Linux カーネル6.19を使用。

出所： オープンネット.ru