Odebrany

CVE-2026-98122

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

vxlan: mdb: Napraw opcję użycia po zwolnieniu w vxlan_mdb_remote_src_del()

vxlan_mdb_is_valid_source(), która sprawdza MDBE_ATTR_SOURCE i każde
Członek MDBE_ATTR_SRC_LIST, akceptuje adres składający się wyłącznie z zer.

Lista źródeł jest akceptowana tylko w przypadku wpisu (*, G), którego źródłem jest
adres składający się wyłącznie z zer, a dla każdego elementu listy znajduje się wpis (S, G).
pochodzi z niego poprzez podstawienie źródła. Wpisy są wprowadzane przez zwykły
memcmp() struktury vxlan_mdb_entry_key, więc jeśli obecne jest MDBE_ATTR_SOURCE
i przechowuje adres składający się z samych zer, a lista źródłowa również go przechowuje, the
klucz pochodny (S, G) jest bajtowo identyczny z kluczem (*, G) i jest rozpoznawany jako
ten sam wpis. Pominięcie MDBE_ATTR_SOURCE nie jest równoważne, jak w przypadku klucza
następnie pozostawiono zerową rodzinę adresów.

vxlan_mdb_remote_src_del() usuwa wpis przekazywania źródła przed
zwolnienie wpisu źródłowego:

vxlan_mdb_remote_src_fwd_del(vxlan, grupa, zdalny, &ent->addr);
vxlan_mdb_remote_src_entry_del(ent);

Po aliasie kluczy pierwsze wywołanie usuwa pilota wpisu
posiada „ent” zamiast osobnego wpisu (S, G) i uwalnia „ent”. Drugi
call następnie działa na zwolnionym wpisie, a jego hlist_del() czyta ->pprev i
->następny z niego i pisze przez nie.

Dodanie wpisu (*, G) z NLM_F_REPLACE i brakiem listy źródeł oznacza
źródło zerowe do usunięcia i osiąga to z przemiatania na końcu
z vxlan_mdb_remote_srcs_replace().

BŁĄD: KASAN: użycie płyty po zwolnieniu w __vxlan_mdb_add+0x1cd/0xd70
Odczytaj rozmiar 8 pod adresem ffff888102852500 w zadaniu poc/84
__vxlan_mdb_add+0x1cd/0xd70
vxlan_mdb_add+0xc0/0x140
rtnl_mdb_add+0x157/0x2a0
rtnetlink_rcv_msg+0x207/0x5a0
Przydzielone przez zadanie 84:
__kmalloc_cache_noprof+0x153/0x360
vxlan_mdb_remote_srcs_add+0x2eb/0x440
__vxlan_mdb_add+0x803/0xd70
Uwolniony przez zadanie 84:
kfree+0x14c/0x3b0
vxlan_mdb_remote_del+0x129/0x1a0
__vxlan_mdb_del+0x4f/0xe0
vxlan_mdb_remote_src_fwd_del.isra.0+0x162/0x1b0
__vxlan_mdb_add+0x1c5/0xd70

Operacje MDB mają zasięg sieciowy, więc może je wykonać nieuprzywilejowany użytkownik
je w nowej przestrzeni nazw użytkownika i sieci.

Odrzuć adres zawierający same zera w vxlan_mdb_is_valid_source(), który obejmuje
obie strony połączeń. Wpis (*, G) wyraża się poprzez pominięcie źródła, tzw
niczego uzasadnionego nie odmówiono.

Odkryte przez XBOW, sprawdzone przez Baula Lee <[email protected]>

In the Linux kernel, the following vulnerability has been resolved:

vxlan: mdb: Fix use-after-free in vxlan_mdb_remote_src_del()

vxlan_mdb_is_valid_source(), which validates MDBE_ATTR_SOURCE and every
MDBE_ATTR_SRC_LIST member, accepts the all-zeros address.

A source list is only accepted on a (*, G) entry, whose source is the
all-zeros address, and for each member of the list an (S, G) entry is
derived from it by substituting the source. Entries are keyed by a plain
memcmp() of struct vxlan_mdb_entry_key, so if MDBE_ATTR_SOURCE is present
and holds the all-zeros address and the source list holds it as well, the
derived (S, G) key is byte-identical to the (*, G) key and resolves to the
same entry. Omitting MDBE_ATTR_SOURCE is not equivalent, as the key is
then left with a zero address family.

vxlan_mdb_remote_src_del() removes the forwarding entry of a source before
freeing the source entry:

vxlan_mdb_remote_src_fwd_del(vxlan, group, remote, &ent->addr);
vxlan_mdb_remote_src_entry_del(ent);

With the keys aliased, the first call deletes the remote of the entry that
owns 'ent' instead of a separate (S, G) entry, and frees 'ent'. The second
call then runs on the freed entry, and its hlist_del() reads ->pprev and
->next out of it and writes through them.

Adding the (*, G) entry with NLM_F_REPLACE and no source list marks the
all-zeros source for deletion and reaches this from the sweep at the end
of vxlan_mdb_remote_srcs_replace().

BUG: KASAN: slab-use-after-free in __vxlan_mdb_add+0x1cd/0xd70
Read of size 8 at addr ffff888102852500 by task poc/84
__vxlan_mdb_add+0x1cd/0xd70
vxlan_mdb_add+0xc0/0x140
rtnl_mdb_add+0x157/0x2a0
rtnetlink_rcv_msg+0x207/0x5a0
Allocated by task 84:
__kmalloc_cache_noprof+0x153/0x360
vxlan_mdb_remote_srcs_add+0x2eb/0x440
__vxlan_mdb_add+0x803/0xd70
Freed by task 84:
kfree+0x14c/0x3b0
vxlan_mdb_remote_del+0x129/0x1a0
__vxlan_mdb_del+0x4f/0xe0
vxlan_mdb_remote_src_fwd_del.isra.0+0x162/0x1b0
__vxlan_mdb_add+0x1c5/0xd70

The MDB operations are netns-scoped, so an unprivileged user can perform
them in a new user and network namespace.

Reject the all-zeros address in vxlan_mdb_is_valid_source(), which covers
both call sites. A (*, G) entry is expressed by omitting the source, so
nothing legitimate is refused.

Discovered by XBOW, triaged by Baul Lee <[email protected]>

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve