Odebrany

CVE-2026-98104

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net/sched: cls_u32: napraw zduplikowany uchwyt, gdy pula identyfikatorów węzłów zostanie wyczerpana

gen_new_kid() powraca do zwracania wartości maksymalnej (htid | 0xFFF), gdy oba
idr_alloc_u32() są pełne, zamiast zgłaszać błąd.
u32_change() ufa tej wartości i wstawia nowy węzeł z uchwytem
który już istnieje w tabeli mieszającej, łamiąc niepowtarzalność uchwytu
w przestrzeni identyfikatorów węzłów tabeli.

Uchwyt nigdy nie był zarezerwowany w ht->handle_idr, więc każdy późniejszy błąd
ścieżka, która wykonuje idr_remove(&ht->handle_idr, handle) usuwa
rezerwacja innego, aktywnego węzła, który następnie jest ponownie wykorzystywany – jeden
nie udało się dodać związków do dalszych duplikatów.

Limit 4095 dotyczy per (tabela, segment) — ht->handle_idr dotyczy skrótu
table, a zakres pochodzi z htid (bucketid), więc tabela z
dzielnik 256 może legalnie pomieścić 256*4095 węzłów.

Pomocnik rodzeństwa gen_new_htid() ma tę samą cichą awarię w paśmie:
zwraca 0, gdy pula uchwytów tp_c (1..0x7FF) jest pełna, oraz
u32_init() publikuje główną tablicę mieszającą z uchwytem 0 bez
sprawdzanie. Dwie tabele główne z aliasem uchwytu 0 w u32_lookup_ht(),
zezwalanie na dodawanie/wyszukiwanie/usuwanie węzła cross-tcf_proto. Dodaj to samo
sprawdź wyczerpanie, które ścieżka dzielnika już ma.

Zwróć błąd, aby u32_change() nie zadziałało z ENOSPC/ENOMEM, gdy
Miejsce na identyfikator węzła zostało wyczerpane, dlatego funkcja u32_init() kończy się niepowodzeniem przy -ENOMEM
gdy przestrzeń identyfikatora tablicy mieszającej zostanie wyczerpana. Treść wiadomości
odróżnia wyczerpanie puli (-ENOSPC) od alokacji przejściowej
awaria (-ENOMEM).

Warunki odtworzenia błędu:
- CONFIG_NET_SCHED=y, CONFIG_CLS_U32=y (lub =m z załadowanym modułem)
- Utwórz clsact qdisc na urządzeniu, a następnie dodaj filtry 4095 u32
automatycznie wygenerowane uchwyty do wypełnienia przestrzeni identyfikatora węzła dla skrótu głównego
stół (pojedyncze wiadro). Filtr automatycznej obsługi nr 4096 dodaje wyzwalacze
zduplikowany uchwyt (ponownie użyty fh 800::fff). Osiągalny na poziomie 2
(cofnij udostępnianie -Urn, lokalna przestrzeń nazw CAP_NET_ADMIN).
- Dla gen_new_htid: utwórz 2047 wpisów proto u32 w tym samym bloku
aby wypełnić pulę uchwytów tp_c, a następnie utwórz jeszcze jedną. Tabela korzeni
pobiera uchwyt 0 i aliasy z innymi tabelami głównymi z uchwytem 0.

In the Linux kernel, the following vulnerability has been resolved:

net/sched: cls_u32: fix duplicate handle when node ID pool is exhausted

gen_new_kid() falls back to returning max (htid | 0xFFF) when both
idr_alloc_u32() ranges are full, instead of reporting an error.
u32_change() trusts that value and inserts a new knode with a handle
that is already live in the hash table, breaking handle uniqueness
within the table's node ID space.

The handle was never reserved in ht->handle_idr, so every later error
path that does idr_remove(&ht->handle_idr, handle) removes the
reservation of a different, live knode, which is then reused — one
failed add compounds into further duplicates.

The 4095 limit is per (table, bucket) — ht->handle_idr is per hash
table and the range is derived from htid (bucketid), so a table with
divisor 256 can legitimately hold 256*4095 knodes.

The sibling helper gen_new_htid() has the same silent in-band failure:
it returns 0 when the tp_c handle pool (1..0x7FF) is full, and
u32_init() publishes the root hash table with handle 0 without
checking. Two root tables with handle 0 alias in u32_lookup_ht(),
allowing cross-tcf_proto knode add/lookup/delete. Add the same
exhaustion check that the divisor path already has.

Return an error so u32_change() fails with ENOSPC/ENOMEM when the
node ID space is exhausted, and so u32_init() fails with -ENOMEM
when the hash table ID space is exhausted. The extack message
distinguishes pool exhaustion (-ENOSPC) from a transient allocation
failure (-ENOMEM).

Conditions to recreate the bug:
- CONFIG_NET_SCHED=y, CONFIG_CLS_U32=y (or =m with module loaded)
- Create a clsact qdisc on a device, then add 4095 u32 filters with
auto-generated handles to fill the node ID space for the root hash
table (single bucket). The 4096th auto-handle filter add triggers
the duplicate handle (fh 800::fff reused). Reachable at Level 2
(unshare -Urn, namespace-local CAP_NET_ADMIN).
- For gen_new_htid: create 2047 u32 proto entries on the same block
to fill the tp_c handle pool, then create one more. The root table
gets handle 0 and aliases with other handle-0 root tables.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve