CVE-2026-99128 LinuxカーネルSCTP処理にDoS脆弱性修正
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
LinuxカーネルのSCTP処理に、特定の設定下でリモートからDoS攻撃を誘発する可能性のある脆弱性が修正されました。SCTPのASCONFチャンクが4バイト未満の長さを持つ場合、カーネルが正しく検証せず、受信ソフトIRQがロックアップする状態が生じる恐れがあります。この問題は、CONFIG_IP_SCTPが有効でnet.sctp.addip_enable=1およびnet.sctp.auth_enable=1が設定された環境で発生する可能性があります。影響を受けるシステムでは、SCTP通信を介した不正なパケットが処理され続けることで、サービスが停止するリスクがあります。修正パッチの適用や、関連するsysctlパラメータの設定確認が推奨されます。脆弱性の再現にはアプリケーション資格情報や共有キーが不要であり、特定のネットワーク設定が要因となるため、運用環境での影響範囲を精査することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について、我々は「システムの信頼性」と「設計の妥当性」の関係を問うべきではないか？もし特定の設定が悪用されれば、サービスが停止するリスクがある。では、この設定を確認する義務は、運用者にどのように課せられるのか？
なるほど、ソクラテス。しかし現実には、sysctlパラメータnet.sctp.addip_enableやnet.sctp.auth_enableが有効になっているかを、まず確認すべきです。それらが有効でなければ、この脆弱性は発生しません。しかし、設定が正しいかは「確認」しないとわかりません。運用者は、まずカーネルのコンフィグやネットワーク設定を確認する必要があります。
では、この脆弱性が「設計上の欠陥」であるならば、運用者は設計者に責任を求めるべきではないか？しかし、修正パッチが存在する以上、運用者はそれを適用する義務がある。では、パッチ適用の前に、影響範囲を精査する必要があるのか？
その通りです。この脆弱性は、特定のネットワーク設定が要因となるため、運用環境で実際に影響を受けるかは、確認しないとわかりません。まずは、SCTPを扱うサーバーが存在するか、その設定が正しいかをチェックしましょう。また、パッチ適用後には、変更管理の記録を残すことも重要です。
しかし、運用者は「変更を管理する」と言っても、監視がなければ、再発するリスクがある。では、この脆弱性が修正された後も、システムの状態をどのように監視すべきか？
監視は、この脆弱性の影響を未然に防ぐために不可欠です。例えば、SCTP通信のログや、softirqのロックアップを検出するメトリクスを定期的に確認する必要があります。また、ベンダーの情報確認も重要です。修正パッチが適用されたカーネルのバージョンや、関連するsysctlパラメータの設定が、公式ドキュメントと一致しているかを確認しましょう。
では、我々の結論は、「確認」がすべての起点であり、その上で「適用」「管理」「監視」が続くのか？
まさにその通りです。この脆弱性は深刻ではありませんが、運用者は「確認」を怠ってはなりません。まずは、設定を確認し、パッチを適用し、変更を管理し、監視を継続する。それが、我々の務めです。
関連キーワード: linux, kernel