Odebrany

CVE-2026-98372

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

xfrm: iptfs: napraw stos OOB odczytany w iptfs_skb_reset_frag_walk()

iptfs_skb_reset_frag_walk() przechodzi do fragmentu zawierającego @offset
z nieograniczoną pętlą:

while (offset >= spacer->przeszłość + spacer->frags[walk->fragi].len)
spacer->przeszłość += spacer->frags[spacer->fragi++].len;

walk->fragi jest zaawansowany, a walk->frags[walk->fragi] jest wyłuskiwany
bez sprawdzania fragi względem walk->nr_frags. Kiedy zażądano
przesunięcie jest równe lub większe od całkowitej długości fragmentów chodnika,
fragi przebiega obok nr_frags i poza koniec stosu o stałym rozmiarze
tablica frags[MAX_SKB_FRAGS + 1], odczytywanie pamięci stosu poza dopuszczalnym zakresem.

Obaj wywołujący zachowują się inaczej: iptfs_skb_add_frags() już chroni
przeciwko temu z

if (!walk->nr_frags ||
offset >= spacer->całkowity + spacer->initial_offset)
zwróć długość;

ale iptfs_skb_can_add_frags() nie ma takiego strażnika i wywołań
iptfs_skb_reset_frag_walk() bezwarunkowo, więc wykonuje
spacer poza zasięgiem. Działa tylko jego własne sprawdzanie powiązane z „fragi < walk->nr_frags”.
później jest już za późno, aby uniemożliwić odczyt.

Jest to osiągalne ze ścieżki odbiorczej: spreparowany IP-TFS (AGGFRAG)
ładunek dostarczony na dyski IPTFS SA iptfs_reassem_cont() ->
iptfs_skb_can_add_frags() z przesunięciem poza sumę fragmentów, np.:

BŁĄD: KASAN: stos poza granicami w iptfs_skb_reset_frag_walk+0x235/0x250
Odczytaj rozmiar 4 pod adresem ffff888008ad7210 za pomocą zadania repro/345
iptfs_skb_reset_frag_walk+0x235/0x250 net/xfrm/xfrm_iptfs.c:392
iptfs_skb_can_add_frags+0x155/0x310 net/xfrm/xfrm_iptfs.c:420
iptfs_reassem_cont+0xcf8/0x1140 net/xfrm/xfrm_iptfs.c:902
iptfs_input_ordered+0x552/0x670 net/xfrm/xfrm_iptfs.c:1280
iptfs_input+0x3d6/0xde0 net/xfrm/xfrm_iptfs.c:1741
xfrm_input+0x282f/0x6140 net/xfrm/xfrm_input.c:700
xfrm4_esp_rcv+0x93/0x120 net/ipv4/xfrm4_protocol.c:104
ip_rcv+0x278/0x2d0 net/ipv4/ip_input.c:612

Zapewnij iptfs_skb_can_add_frags() tę samą ochronę z przodu, co
iptfs_skb_add_frags() już to zrobił, więc spacer nigdy nie jest wprowadzany z an
przesunięcie poza zakresem. Po uruchomieniu osoba wywołująca wraca do
istniejącą ścieżkę linearyzacji i kopiowania, która jest bezpieczna.

In the Linux kernel, the following vulnerability has been resolved:

xfrm: iptfs: fix stack OOB read in iptfs_skb_reset_frag_walk()

iptfs_skb_reset_frag_walk() advances to the fragment containing @offset
with an unbounded loop:

while (offset >= walk->past + walk->frags[walk->fragi].len)
walk->past += walk->frags[walk->fragi++].len;

walk->fragi is advanced and walk->frags[walk->fragi] is dereferenced
without ever checking fragi against walk->nr_frags. When the requested
offset is at or beyond the total length spanned by the walk's fragments,
fragi runs past nr_frags and off the end of the fixed-size on-stack
frags[MAX_SKB_FRAGS + 1] array, reading out-of-bounds stack memory.

The two callers behave differently: iptfs_skb_add_frags() already guards
against this with

if (!walk->nr_frags ||
offset >= walk->total + walk->initial_offset)
return len;

but iptfs_skb_can_add_frags() has no such guard and calls
iptfs_skb_reset_frag_walk() unconditionally, so it performs the
out-of-range walk. Its own "fragi < walk->nr_frags" bound check runs only
afterwards, too late to prevent the read.

This is reachable from the receive path: a crafted IP-TFS (AGGFRAG)
payload delivered to an IPTFS SA drives iptfs_reassem_cont() ->
iptfs_skb_can_add_frags() with an offset past the fragment total, e.g.:

BUG: KASAN: stack-out-of-bounds in iptfs_skb_reset_frag_walk+0x235/0x250
Read of size 4 at addr ffff888008ad7210 by task repro/345
iptfs_skb_reset_frag_walk+0x235/0x250 net/xfrm/xfrm_iptfs.c:392
iptfs_skb_can_add_frags+0x155/0x310 net/xfrm/xfrm_iptfs.c:420
iptfs_reassem_cont+0xcf8/0x1140 net/xfrm/xfrm_iptfs.c:902
iptfs_input_ordered+0x552/0x670 net/xfrm/xfrm_iptfs.c:1280
iptfs_input+0x3d6/0xde0 net/xfrm/xfrm_iptfs.c:1741
xfrm_input+0x282f/0x6140 net/xfrm/xfrm_input.c:700
xfrm4_esp_rcv+0x93/0x120 net/ipv4/xfrm4_protocol.c:104
ip_rcv+0x278/0x2d0 net/ipv4/ip_input.c:612

Give iptfs_skb_can_add_frags() the same up-front guard that
iptfs_skb_add_frags() already has, so the walk is never entered with an
out-of-range offset. When it triggers, the caller falls back to the
existing linearize-and-copy path, which is safe.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve