Odebrany

CVE-2026-90053

opublikowano: 17.09.2026, 19:16

modyfikacja: 17.09.2026, 19:16

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net/sched: sch_htb: limit htb_classify przeskoków filtrów klasy wewnętrznej

htb_classify() podąża za każdą klasą wewnętrzną wybraną przez filtr, przełączając
do cl->filter_list, ale nigdy nie ogranicza liczby przeskoków. Włączony filtr
klasa wewnętrzna może wskazywać na siebie lub na inną klasę wewnętrzną
wskazuje wstecz, tworząc nieskończoną pętlę w klasyfikacji pakietów
path z przytrzymaną blokadą qdisc i wyłączonym BH — miękkie zawieszenie/panika
z jednego pakietu.

Powiąż przejście za pomocą licznika przeskoków i upuść pakiet za pomocą a
ostrzeżenie o ograniczonej szybkości w przypadku przekroczenia limitu. Licznik jest
zwiększany w momencie podnoszenia wewnętrznego łańcucha filtra, po
Przełącznik TC_ACT_* zużył werdykt klasyfikatora, więc terminal
TC_ACT_QUEUED/STOLEN/TRAP w ostatnim dozwolonym łańcuchu nadal ustawia *qerr
do __NET_XMIT_STOLEN i pakiet nie jest przez to naliczany jako kropla
qdisc lub jego rodzic.

Ograniczeniem jest TC_HTB_MAXDEPTH, wzięty z własnych parametrów HTB, a nie
od limitu głębokości hierarchii qdisc. Poziomy klas wahają się od 0 do
TC_HTB_MAXDEPTH - 1, więc przejście ściśle schodzące w dół może
wykonaj co najwyżej przeskoki TC_HTB_MAXDEPTH. To zejście jest rozsądne
konfiguracja tak, ale jest to tutaj zakładane, a nie wymuszane:
htb_find() rozwiązuje klasę dla każdej klasy w kolejce kolejkowej, więc a
filtr może w równym stopniu wybrać rodzeństwo lub przodka. Normalne
root -> wewnętrzna -> ścieżka liścia wymaga jednego przeskoku, więc powiązanie nie
mieć wpływ na legalną klasyfikację.

htb_classify() może teraz zwracać NULL niezależnie od CONFIG_NET_CLS_ACT,
podczas gdy poprzednio każdy zwrot NULL znajdował się w tym ifdef. Wartość NULL
dlatego też procedura obsługi w htb_enqueue() również nie może pozostać warunkowa, więc
upuść ifdef wokół niego. To pasuje do hfsc_enqueue(), co zawsze miało miejsce
bezwarunkowo obsłużył klasę NULL. Bez tego jądro zostanie zbudowane
bez akcji wyłuskałoby klasę NULL zamiast upuszczać.

Warunki odtworzenia błędu:
- CONFIG_NET_SCHED, CONFIG_NET_SCH_HTB, CONFIG_NET_CLS_U32,
CONFIG_LOCKUP_DETECTOR.
- Utwórz kolejkę HTB na urządzeniu (np. lo), dodaj klasę wewnętrzną
1:1 z dzieckiem liścia 1:10, zainstaluj wybór filtra root u32
1:1 i filtr klasy wewnętrznej u32 na 1:1, również wybierający 1:1.
- Wyślij jeden pakiet (ping). W nienaprawionym jądrze pętla klasyfikacji
obraca się z przytrzymaną blokadą qdisc; z softlockup_panic=1 wpada w panikę.
- Dostępny dla nieuprzywilejowanego użytkownika poprzez unshare -Urn (CAP_NET_ADMIN).

In the Linux kernel, the following vulnerability has been resolved:

net/sched: sch_htb: limit htb_classify inner-class filter hops

htb_classify() follows each filter-selected inner class by switching
to cl->filter_list, but never bounds the number of hops. A filter on
an inner class can point back to itself or to another inner class that
points back, creating an infinite loop in the packet classification
path with the qdisc lock held and BH disabled — a soft lockup / panic
from a single packet.

Bound the traversal with a hop counter and drop the packet with a
rate-limited warning once the bound is exceeded. The counter is
incremented at the point the inner filter chain is picked up, after the
TC_ACT_* switch has consumed the classifier verdict, so a terminal
TC_ACT_QUEUED/STOLEN/TRAP on the last permitted chain still sets *qerr
to __NET_XMIT_STOLEN and the packet is not charged as a drop by this
qdisc or its parent.

The bound is TC_HTB_MAXDEPTH, taken from HTB's own parameters rather than
from the qdisc hierarchy depth limit. Class levels run from 0 to
TC_HTB_MAXDEPTH - 1, so a traversal that strictly descends in level can
take at most TC_HTB_MAXDEPTH hops. That descent is what a sane
configuration does, but it is assumed here rather than enforced:
htb_find() resolves a classid against every class in the qdisc, so a
filter may equally select a sibling or an ancestor. The normal
root -> inner -> leaf path takes a single hop, so the bound does not
affect legitimate classification.

htb_classify() can now return NULL irrespective of CONFIG_NET_CLS_ACT,
whereas previously every NULL return sat inside that ifdef. The NULL
handler in htb_enqueue() therefore cannot stay conditional either, so
drop the ifdef around it. This matches hfsc_enqueue(), which has always
handled a NULL class unconditionally. Without it, a kernel built
without actions would dereference a NULL class instead of dropping.

Conditions to recreate the bug:
- CONFIG_NET_SCHED, CONFIG_NET_SCH_HTB, CONFIG_NET_CLS_U32,
CONFIG_LOCKUP_DETECTOR.
- Create an HTB qdisc on a device (e.g. lo), add an inner class
1:1 with a leaf child 1:10, install a root u32 filter selecting
1:1, and an inner-class u32 filter on 1:1 also selecting 1:1.
- Send one packet (ping). On the unfixed kernel the classify loop
spins with the qdisc lock held; with softlockup_panic=1 it panics.
- Reachable from unprivileged user via unshare -Urn (CAP_NET_ADMIN).

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve