CVE-2026-43501

概要

Linuxカーネルにおいて、以下の脆弱性が修正されました： ipv6: rpl: 再圧縮されたSRHが拡大する際にmac_lenヘッドルームを予約する ipv6_rpl_srh_rcv() は、RFC 6554 Source Routing Headerを解凍し、次のセグメントをipv6_hdr->daddrに置き換え、再圧縮し、その後、古いヘッダーをプルして、新しいヘッダーとIPv6ヘッダーをプッシュして戻します。再圧縮されたヘッダーは、スワップによってセグメントがdaddrと共有する共通プレフィックス長が短縮される場合、受信したヘッダーよりも大きくなる可能性があります（CmprI=0、CmprE>0、seg[0][0] != daddr[0]の場合、最大+8バイトになります）。pskb_expand_head() は segments_left == 0 のときにのみ実行されるようになっていたため、それより前のセグメントでは、プッシュによってヘッドルームがチェックされずに消費されていました。skb_push() によって data の前に skb->mac_len バイト未満しか残らなくなると、skb_mac_header_rebuild() の呼び出し: skb_set_mac_header(skb, -skb->mac_len); は (data - head) - mac_len を u16 の mac_header フィールドに格納しますが、これは ~65530 にラップし、続く memmove() は skb->head から約64KiB先に mac_len バイトを書き込むことになります。lo インターフェースを介した、2つのセグメントを持つタイプ3 SRH（CmprI=0、CmprE=15）の単一の AF_INET6/SOCK_RAW/IPV6_HDRINCL パケットは、1回の通過でヘッドルームが8バイトに達します。KASANは ipv6_rthdr_rcv で14バイトのOOB書き込みを報告します。この問題を修正するには、残りの領域がプッシュサイズとmac_lenの合計よりも少ない場合に常にheadを拡張し、再構築されたMACヘッダーが後で収まるように、その分の追加領域を要求します。

• cybermeowfia-termuxエクスプロイト

  Termux 特権昇格ツール & ルートマネージャー - CVE-2026-43501