CVEノート

最近の脆弱性 › CVE-2025-39964

Linux Kernel の脆弱性（CVE-2025-39964）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2025-39964
製品Linux Kernel
深刻度（CVSS）5.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
KEVへの追加日2026-09-18
米国政府機関の対応期限2026-09-21
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-362

何が起きた

Linux カーネルの暗号の機能（AF_ALG）に、同時に書き込みをすると問題が起きる弱点（競合状態）が見つかり、実際に悪用が確認されています。同じ AF_ALG ソケットに2つの書き込みを同時に行うと、データが予測できない形で混ざり、内部の状態に食い違いが生まれることがありました。この弱点は、その機器の上で、一般の利用者程度の権限を持つ攻撃者が悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が機器の上で処理を動かす → 2. 同じソケットに同時に書き込む → 3. 内部の状態に食い違いが生まれる1攻撃者が機器の上で処理を動かす2同じソケットに同時に書き込む3内部の状態に食い違いが生まれる攻撃の流れ: 1. 攻撃者が機器の上で処理を動かす → 2. 同じソケットに同時に書き込む → 3. 内部の状態に食い違いが生まれる1攻撃者が機器の上で処理を動かす2同じソケットに同時に書き込む3内部の状態に食い違いが生まれる

誰が影響を受ける

Linux カーネルの 2.6.38 以降のとても広い範囲が影響を受けます。修正版は系統ごとに分かれていて、例えば 5.15.194、6.1.154、6.6.108、6.12.49、6.16.9 以降です。

何をすればいい

使っている Linux の配布元（ディストリビューション）の案内に従って、修正されたカーネルに更新してください。

やることチェックリスト

用語メモ

競合状態
複数の処理が同時に動くことで、順番によって結果が変わり、問題が起きてしまう状態のことです。
ソケット
プログラムが通信やデータのやり取りをするための窓口のことです。

元データ（英語・CISA KEV より）

Linux Kernel Race Condition Vulnerability

概要

Linux Kernel contains a race condition vulnerability which allows concurrent writes to the same AF_ALG socket causing data to be unpredictably interleaved and creating inconsistencies in the socket's internal state.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

公式情報