Odebrany

CVE-2026-98302

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: fddi: skfp: napraw deref NULL podczas ustawiania adresu MAC w trybie wyłączonym

skfp_ctl_set_mac_address() wywołuje ResetAdapter() bezwarunkowo, bez
sprawdzanie netif_running(). ResetAdapter() najpierw wywołuje card_stop(), która
ustawia smc->hw.hw_state na ZATRZYMANE, a następnie mac_drv_clear_tx_queue(),
który obsługuje dwie kolejki transmisji:

for (i = KOLEJKA_S; i <= KOLEJKA_A0; i++) {
kolejka = smc->hw.fp.tx[i] ;
...
t = kolejka->tx_curr_get ;

smc->hw.fp.tx[] jest wypełniane tylko przez init_tx(), do której można uzyskać dostęp z
skfp_open() do init_smt() -> init_fddi_driver() -> init_fplus() ->
init_mac() -> init_tx(). Obszar prywatny jest przydzielany i zerowany przez
alloc_fddidev(), więc w interfejsie, który nigdy nie był poruszany w obu przypadkach
wskaźniki kolejki nadal mają wartość NULL. Test hw_state na górze
mac_drv_clear_tx_queue() tego nie wychwytuje, ponieważ card_stop() ma
po prostu ustaw ZATRZYMANY; funkcja przechodzi do pętli i dereferencji
NULL. ResetAdapter() wywołuje samą init_smt(), ale dopiero po
kolejki zostały oczyszczone.

Dlatego ustawienie adresu MAC na wyłączonym interfejsie oops:

zestaw łącza ip dev adres fddi0 02:00:00:00:00:01

BŁĄD: KASAN: null-ptr-deref w mac_drv_clear_tx_queue+0x68/0x2c0 [skfp]
Odczytaj rozmiar 8 pod adresem 0000000000000010 za pomocą zadania ip/302
Zadzwoń do śledzenia:
<ZADANIE>
mac_drv_clear_tx_queue+0x68/0x2c0 [skfp 6c01d4bab63c36978bd0a7d7e90837adb44cc37b]
ResetAdapter+0x29/0x100 [skfp 6c01d4bab63c36978bd0a7d7e90837adb44cc37b]
skfp_ctl_set_mac_address+0x57/0x80 [skfp 6c01d4bab63c36978bd0a7d7e90837adb44cc37b]
adres_netif_set_mac+0x1e4/0x2c0
do_setlink+0x684/0x2680
</ZADANIE>

Adres 0x10 jest przesunięciem tx_curr_get, trzeciego wskaźnika w
struktura s_smt_tx_queue w wersji 64-bitowej. mac_drv_clear_rx_queue(), który
ResetAdapter() wywołuje natychmiast po tym, dereferencje
smc->hw.fp.rx[QUEUE_R1] w ten sam sposób za tym samym nieskutecznym
test stanu_hw; kolejka transmisji po prostu ulega awarii jako pierwsza. Obydwa są
zakryty przez strażnika poniżej.

Pomiń resetowanie adaptera, gdy interfejs nie działa. dev_addr_set() jest
pozostawiony bezwarunkowy, więc nowy adres jest nadal rejestrowany
dev->dev_addr. Jeśli nie zresetujesz adaptera w tym miejscu, nic nie stracisz:
skfp_open() celowo ponownie odczytuje adres fabryczny przy każdym otwarciu,

adres_czytania(smc, NULL);
eth_hw_addr_set(dev, smc->hw.fddi_canon_addr.a);

a powyższy komentarz stwierdza, że ma to na celu odrzucenie dokładnie takiego
zastąpienie adresu w cyklu zamknięcia/otwarcia. Adres ustawiony podczas
interfejs nie działa, nie mógłby przetrwać nawet kolejnego otwarcia
przed tą zmianą, więc osłona nie usuwa żadnych zachowań roboczych. Strzeże
sprzętowa strona ndo_set_mac_address() z netif_running() to
ustalona praktyka; skge_set_mac_address() zrobiło to od czasu zatwierdzenia
2eb3e621c4e0 („skge: ustaw poprawkę łączenia adresów MAC”).

Jest ochrona resetowania jako całości, zamiast sprawdzania kolejek o wartości NULL
także to, czego oczekuje reszta kierowcy. Po poprzednim otwarciu/zamknięciu
wskaźniki kolejki są nieaktualne, ale nie mają wartości NULL, więc nie ma jeszcze awarii
ResetAdapter() wywołuje smt_online() i STI_FBI() („Włącz
Przerwania płyty”), podczas gdy skfp_close() wywołała już free_irq() -
adapter zostanie przywrócony do trybu online bez zainstalowanego modułu obsługi. The
jedynym innym obiektem wywołującym ResetAdapter() jest skfp_interrupt(), który według
budowa przebiega tylko wtedy, gdy urządzenie jest otwarte.

Znaleziony podczas automatycznego testowania sterowników względem emulowanego SysKonnect FDDI
adapter pod jądrem 7.0.0 obsługującym KASAN. Wyzwolenie tego wymaga
CAP_NET_ADMIN.

In the Linux kernel, the following vulnerability has been resolved:

net: fddi: skfp: fix NULL deref when setting the MAC address while down

skfp_ctl_set_mac_address() calls ResetAdapter() unconditionally, without
checking netif_running(). ResetAdapter() first calls card_stop(), which
sets smc->hw.hw_state to STOPPED, and then mac_drv_clear_tx_queue(),
which walks the two transmit queues:

for (i = QUEUE_S; i <= QUEUE_A0; i++) {
queue = smc->hw.fp.tx[i] ;
...
t = queue->tx_curr_get ;

smc->hw.fp.tx[] is only populated by init_tx(), which is reached from
skfp_open() through init_smt() -> init_fddi_driver() -> init_fplus() ->
init_mac() -> init_tx(). The private area is allocated and zeroed by
alloc_fddidev(), so on an interface that has never been brought up both
queue pointers are still NULL. The hw_state test at the top of
mac_drv_clear_tx_queue() does not catch this, because card_stop() has
just set STOPPED; the function proceeds into the loop and dereferences
NULL. ResetAdapter() does call init_smt() itself, but only after the
queues have been cleared.

Setting the MAC address on a down interface therefore oopses:

ip link set dev fddi0 address 02:00:00:00:00:01

BUG: KASAN: null-ptr-deref in mac_drv_clear_tx_queue+0x68/0x2c0 [skfp]
Read of size 8 at addr 0000000000000010 by task ip/302
Call Trace:
<TASK>
mac_drv_clear_tx_queue+0x68/0x2c0 [skfp 6c01d4bab63c36978bd0a7d7e90837adb44cc37b]
ResetAdapter+0x29/0x100 [skfp 6c01d4bab63c36978bd0a7d7e90837adb44cc37b]
skfp_ctl_set_mac_address+0x57/0x80 [skfp 6c01d4bab63c36978bd0a7d7e90837adb44cc37b]
netif_set_mac_address+0x1e4/0x2c0
do_setlink+0x684/0x2680
</TASK>

Address 0x10 is the offset of tx_curr_get, the third pointer in
struct s_smt_tx_queue, on 64-bit. mac_drv_clear_rx_queue(), which
ResetAdapter() calls immediately afterwards, dereferences
smc->hw.fp.rx[QUEUE_R1] in the same way behind the same ineffective
hw_state test; the transmit queue merely crashes first. Both are
covered by the guard below.

Skip the adapter reset when the interface is down. dev_addr_set() is
left unconditional, so the new address is still recorded in
dev->dev_addr. Nothing is lost by not resetting the adapter here:
skfp_open() deliberately re-reads the factory address on every open,

read_address(smc, NULL);
eth_hw_addr_set(dev, smc->hw.fddi_canon_addr.a);

and the comment above it states this is done to discard exactly such an
address override across a close/open cycle. An address set while the
interface is down could not have survived the following open even
before this change, so the guard removes no working behaviour. Guarding
the hardware side of ndo_set_mac_address() with netif_running() is
established practice; skge_set_mac_address() has done so since commit
2eb3e621c4e0 ("skge: set mac address bonding fix").

Guarding the reset as a whole, rather than NULL-checking the queues, is
also what the rest of the driver expects. After a previous open/close
the queue pointers are stale but non-NULL, so there is no crash, yet
ResetAdapter() goes on to call smt_online() and STI_FBI() ("Enable
Board Interrupts") while skfp_close() has already called free_irq() -
the adapter would be brought back online with no handler installed. The
only other ResetAdapter() caller is skfp_interrupt(), which by
construction runs only while the device is open.

Found by automated driver testing against an emulated SysKonnect FDDI
adapter under a KASAN-enabled 7.0.0 kernel. Triggering it requires
CAP_NET_ADMIN.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve