Odebrany

CVE-2026-98271

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: skbuff: nie pozostawiaj przestarzałych przesunięć nagłówka po pskb_carve()

pskb_carve_inside_header() i pskb_carve_inside_nonlinear() usuwają
pierwsze bajty pakietu i ponownie przydziel skb->head.

Zniknęły wszystkie nagłówki, które były obecne przed operacją,
ale obie funkcje wywołują skb_headers_offset_update(skb, 0), który
nie działa: skb->mac_header, skb->network_header,
skb->transport_header i skb->csum_start zachowują swoje stare wartości i
teraz opisz bajty, których już nie ma.

Obaj pomocnicy dobierają nową głowę na podstawie starej funkcji skb_end_offset(), więc
przestarzałe przesunięcia nadal trafiają do nowej alokacji. Wskazują przeszłość
skb_tail_pointer() do bajtów, które nigdy nie zostały zainicjowane.

pskb_carve_inside_nonlinear() jest najgorszym przypadkiem, ponieważ pozostawia a
zombie skb z pustą częścią liniową (skb->data ==
skb_tail_pointer(skb), skb_headlen(skb) == 0), podczas gdy
skb_mac_header_was_set() jest nadal prawdą, a skb->mac_header jest sposobem
przed skb->data.

Jedynym użytkownikiem pskb_extract() jest rds_tcp_data_recv(), a
rzeźbiony skb znajduje się w kolejce na tinc->ti_skb_list. Kiedy nadchodzi RDS
wiadomość zostaje opublikowana, rds_tcp_inc_free() wywołuje skb_queue_purge(),
co zwalnia skbs za pomocą SKB_DROP_REASON_QUEUE_PURGE. To jest
widoczne z drop_monitor, który następnie próbuje wrócić do
(fałszywy) nagłówek Mac:

skbuff: __skb_pull(len=234)
skb len=6968 data_len=6968 headroom=0 headlen=0 Tailroom=0
koniec ogona=384 mac=(234,14) mac_len=14 netto=(248,40) trans=288
shinfo(txflags=0 nr_frags=1 gso(rozmiar=1428 typ=16 seg=5))
csum(0x100120 start=288 offset=16 ip_summed=3 komplet_sw=0 ważny=1 poziom=0)
hash(0x7b446c6c sw=0 l4=1) proto=0x86dd pkttype=0 iif=60
BŁĄD jądra w ./include/linux/skbuff.h:2847!

Dodaj skb_carve_reset_headers(), aby oznaczyć nagłówki mac i transportu
jako nieustawione, zresetuj nagłówek sieciowy, wyczyść skb->mac_len i upuść
teraz bez znaczenia CHECKSUM_PARTIAL (csum_start już nie opisuje
cokolwiek).

Unieważnij także wewnętrzne przesunięcia. W przeciwieństwie do mac_header i
transport_header nie mają „nieustawionego” wartownika, więc pozostałość
Wartość niezerowa nadal wygląda jak prawdziwy nagłówek. Zero
skb->inner_mac_header, skb->inner_network_header,
skb->inner_transport_header, skb->inner_protocol i
skb->encapsulation, dzięki czemu cały stan nagłówka zostanie unieważniony
jedno miejsce.

v2: naprawiono niedokładny dziennik zmian. Przestarzałe przesunięcia pozostają w środku
nowy skb->head, który nigdy nie jest mniejszy od starego, oni
po prostu wskaż obok skb_tail_pointer() bajty, które zniknęły.
Dziękuję Xuanqiang Luo za naleganie.
Unieważnij także stan nagłówka wewnętrznego, jak sugeruje
Recenzja AI Netdev:
https://netdev-ai.bots.linux.dev/sashiko/#/patchset/20260911114922.621937-1-edumazet%40google.com

In the Linux kernel, the following vulnerability has been resolved:

net: skbuff: do not leave stale header offsets after pskb_carve()

pskb_carve_inside_header() and pskb_carve_inside_nonlinear() remove
the first bytes of a packet and reallocate skb->head.

All the headers that were present before the operation are gone,
but both functions call skb_headers_offset_update(skb, 0), which
is a no-op : skb->mac_header, skb->network_header,
skb->transport_header and skb->csum_start keep their old values and
now describe bytes which are no longer there.

Both helpers size the new head from the old skb_end_offset(), so the
stale offsets still land inside the new allocation. They point past
skb_tail_pointer() though, to bytes that were never initialized.

pskb_carve_inside_nonlinear() is the worst case, because it leaves a
zombie skb with an empty linear part (skb->data ==
skb_tail_pointer(skb), skb_headlen(skb) == 0), while
skb_mac_header_was_set() is still true and skb->mac_header is way
ahead of skb->data.

The only user of pskb_extract() is rds_tcp_data_recv(), and the
carved skb is queued on tinc->ti_skb_list. When the RDS incoming
message is released, rds_tcp_inc_free() calls skb_queue_purge(),
which frees the skbs with SKB_DROP_REASON_QUEUE_PURGE. This is
visible from drop_monitor, which then tries to pull back to the
(bogus) mac header :

skbuff: __skb_pull(len=234)
skb len=6968 data_len=6968 headroom=0 headlen=0 tailroom=0
end-tail=384 mac=(234,14) mac_len=14 net=(248,40) trans=288
shinfo(txflags=0 nr_frags=1 gso(size=1428 type=16 segs=5))
csum(0x100120 start=288 offset=16 ip_summed=3 complete_sw=0 valid=1 level=0)
hash(0x7b446c6c sw=0 l4=1) proto=0x86dd pkttype=0 iif=60
kernel BUG at ./include/linux/skbuff.h:2847!

Add skb_carve_reset_headers() to mark the mac and transport headers
as not set, reset the network header, clear skb->mac_len, and drop
a now meaningless CHECKSUM_PARTIAL (csum_start no longer describes
anything).

Invalidate the inner offsets as well. Unlike mac_header and
transport_header they have no "unset" sentinel, so a leftover
non-zero value still looks like a real header. Zero
skb->inner_mac_header, skb->inner_network_header,
skb->inner_transport_header, skb->inner_protocol and
skb->encapsulation, so that all the header state is invalidated in
one place.

v2: fixed an inaccurate changelog. The stale offsets stay inside the
new skb->head, which is never smaller than the old one, they
simply point past skb_tail_pointer() to bytes that are gone.
Thanks to Xuanqiang Luo for insisting on this.
Also invalidate the inner header state, as suggested by the
netdev AI review :
https://netdev-ai.bots.linux.dev/sashiko/#/patchset/20260911114922.621937-1-edumazet%40google.com

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve