Odebrany

CVE-2026-98401

opublikowano: 14.10.2026, 16:17

modyfikacja: 14.10.2026, 16:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: iptunnel: napraw nieaktualny nagłówek transportu podczas dekapsulacji tunelu

Syzbot zgłosił awarię qdisc_pkt_len_segs_init() spowodowaną nieaktualnym
przesunięcie nagłówka transport_header po dekapsulacji tunelu.

BŁĄD: nie można obsłużyć błędu strony dla adresu: ffffed102091a42e
Ups: Ups: 0000 [#1] SMP KASAN NOPTI
Procesor: 0 UID: 0 PID: 340 Comm: qdisc_uaf_repro Nieskażony 7.2.0-rc4-00061-g248951ddc14d #256 PREEMPT (pełny)
Nazwa sprzętu: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 01.04.2014
RIP: 0010:__asan_load2
<przerwanie>
qdisc_pkt_len_segs_init (net/core/dev.c:4145)
__dev_queue_xmit (net/core/dev.c:4787)
br_dev_queue_push_xmit (net/bridge/br_forward.c:53)
br_handle_frame_finish (net/bridge/br_input.c:229)
br_handle_frame (net/bridge/br_input.c:315)
__netif_receive_skb_core.constprop.0 (net/core/dev.c:6099)
__netif_receive_skb_list_core (net/core/dev.c:6287)
netif_receive_skb_list_internal (net/core/dev.c:6445)
napi_complete_done (net/core/dev.c:6813)
gro_cell_poll (net/core/gro_cells.c:74)
__napi_poll (net/core/dev.c:7735)
net_rx_action (net/core/dev.c:7798 net/core/dev.c:7955)
handle_softirqs (jądro/softirq.c:622)
do_softirq (jądro/softirq.c:523 jądro/softirq.c:510 )
__local_bh_enable_ip (jądro/softirq.c:450)
tun_get_user (drivers/net/tun.c:1986 (wyróżnik 1))
tun_chr_write_iter (drivers/net/tun.c:2032)

Problem jest całkowicie ukryty, dopóki qdisc nie wczyta nagłówka transportowego
zatwierdzić 7fb4c1967011 („net: ściągnij nagłówki w qdisc_pkt_len_segs_init()”).
Do katastrofy wymagane są cztery warunki:

1. Pakiet przychodzący jest hermetyzowany i zawiera metadane GSO. Zewnętrzny
przesunięcie nagłówka transportu jest przechowywane w skb->transport_header, podczas gdy
pakiet nadal znajduje się w kontekście tunelu zewnętrznego.
2. Odbiornik tunelowy zdejmuje zewnętrzne nagłówki. skb->dane są zaawansowane do
wewnętrzną ramkę, ale skb->transport_header pozostaje wskazujący na
teraz usunięto zewnętrzny nagłówek L4, więc staje się on ujemnym przesunięciem w stosunku do
nowe dane.
3. Ramka wewnętrzna nie jest dostarczana do lokalnego stosu IP. Zamiast tego
jest przekazywany na L2 przez most lub HSR, więc ip_rcv_core() nigdy nie działa i
nagłówek transportowy nie jest resetowany do wewnętrznego przesunięcia L4.
4. Ścieżka przekazywania wywołuje funkcję __dev_queue_xmit(), która wchodzi
qdisc_pkt_len_segs_init(). Ta funkcja oblicza długość nagłówka GSO
z skb_transport_offset(skb). Ponieważ przesunięcie jest ujemne,
przepełnienia rzutowania bez znaku i pskb_may_pull(skb, hdr_len +
sizeof(struct tcphdr)) odczytuje koniec skb, wywołując a
Błąd KASAN lub błąd strony.

Problem szczególnie wymaga pakietów GSO (shinfo->gso_size != 0), które
są przetwarzane/agregowane przez gro_cells. Napraw to, usuwając
transport_header do wartownika ~0U w gro_cell dla wszystkich sterowników tuneli.
GTP nie obsługuje GRO/GSO, upuść złe pakiety GSO bezpośrednio w GTP.

In the Linux kernel, the following vulnerability has been resolved:

net: iptunnel: fix stale transport header during tunnel decapsulation

Syzbot reported a crash in qdisc_pkt_len_segs_init() caused by a stale
transport_header offset after tunnel decapsulation.

BUG: unable to handle page fault for address: ffffed102091a42e
Oops: Oops: 0000 [#1] SMP KASAN NOPTI
CPU: 0 UID: 0 PID: 340 Comm: qdisc_uaf_repro Not tainted 7.2.0-rc4-00061-g248951ddc14d #256 PREEMPT(full)
Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014
RIP: 0010:__asan_load2
<IRQ>
qdisc_pkt_len_segs_init (net/core/dev.c:4145)
__dev_queue_xmit (net/core/dev.c:4787)
br_dev_queue_push_xmit (net/bridge/br_forward.c:53)
br_handle_frame_finish (net/bridge/br_input.c:229)
br_handle_frame (net/bridge/br_input.c:315)
__netif_receive_skb_core.constprop.0 (net/core/dev.c:6099)
__netif_receive_skb_list_core (net/core/dev.c:6287)
netif_receive_skb_list_internal (net/core/dev.c:6445)
napi_complete_done (net/core/dev.c:6813)
gro_cell_poll (net/core/gro_cells.c:74)
__napi_poll (net/core/dev.c:7735)
net_rx_action (net/core/dev.c:7798 net/core/dev.c:7955)
handle_softirqs (kernel/softirq.c:622)
do_softirq (kernel/softirq.c:523 kernel/softirq.c:510 )
__local_bh_enable_ip (kernel/softirq.c:450)
tun_get_user (drivers/net/tun.c:1986 (discriminator 1))
tun_chr_write_iter (drivers/net/tun.c:2032)

The issue is completely latent until qdisc read transport header in
commit 7fb4c1967011 ("net: pull headers in qdisc_pkt_len_segs_init()").
The crash requires four conditions to line up:

1. The incoming packet is encapsulated and carries GSO metadata. The outer
transport header offset is stored in skb->transport_header while the
packet is still in the outer tunnel context.
2. The tunnel receiver strips the outer headers. skb->data is advanced to
the inner frame, but skb->transport_header is left pointing to the
now-removed outer L4 header, so it becomes a negative offset relative to
the new data.
3. The inner frame is not delivered to the local IP stack. Instead, it
is forwarded at L2 by a bridge or HSR, so ip_rcv_core() never runs and
the transport header is not reset to the inner L4 offset.
4. The forwarding path calls __dev_queue_xmit(), which enters
qdisc_pkt_len_segs_init(). That function computes the GSO header length
from skb_transport_offset(skb). Because the offset is negative, the
unsigned cast overflows and pskb_may_pull(skb, hdr_len +
sizeof(struct tcphdr)) reads past the end of the skb, triggering a
KASAN fault or page fault.

The issue specifically requires GSO packets (shinfo->gso_size != 0), which
are processed/aggregated through gro_cells. Fix this by clearing
transport_header to the ~0U sentinel in gro_cell for all tunnnel driver.
GTP does not support GRO/GSO, drop the evil GSO packets in GTP directly.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve