Odebrany

CVE-2026-98432

opublikowano: 15.10.2026, 15:17

modyfikacja: 15.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ipv4: bezpłatne inet_opt i ireq_opt po okresie karencji RCU

tcp_v4_syn_recv_sock() przenosi własność ireq->ireq_opt na
gniazdo podrzędne (newinet->inet_opt) bez jego kopiowania.

Inny procesor może jednocześnie przetwarzać retransmitowany sygnał SYN w tym celu
zażądaj gniazda i wyślij SYNACK z tcp_check_req().
tcp_v4_send_synack() i inet_csk_route_req() czytają ireq->ireq_opt
tylko pod rcu_read_lock() i ip_build_and_send_pkt() i
ip_options_build(), a następnie dwukrotnie przeczytaj opt->optlen.

Należy pamiętać, że sam licznik czasu SYNACK nie stanowi problemu: zawiera on a
odwołanie do gniazda żądania i inet_csk_reqsk_queue_drop()
wywołuje timer_delete_sync() zanim dziecko będzie mogło zostać uwolnione.

Od zatwierdzenia 079096f103fa („tcp/dccp: zainstaluj żądania syn_recv
do tabeli ehash”), gniazda żądań są przetwarzane bez wstrzymywania
blokadę słuchacza, więc nic nie stoi na przeszkodzie, aby było gniazdo dziecięce
uwolniony, gdy SYNACK jest wciąż budowany. Gniazda podrzędne TCP tak
nie ma SOCK_RCU_FREE, a inet_sock_destruct() zwalnia inet_opt
za pomocą zwykłego kfree(), prowadzącego do użycia po zwolnieniu
ip_options_build().

Podobny problem występuje w przypadku migracji gniazda żądania
(net.ipv4.tcp_migrate_req=1 lub BPF_SK_REUSEPORT_SELECT_OR_MIGRATE
programu). reqsk_timer_handler() klonuje gniazdo żądania za pomocą
inet_reqsk_clone(), tak aby stare gniazdo żądania i jego klon
udostępnij ten sam ireq_opt, a następnie reqsk_migrate_reset() czyści
wskaźnik w starym. Kolejny procesor posiadający odniesienie do starego
gniazdo żądania może nadal korzystać z tych opcji (wysyłanie SYNACK,
lub utworzenie dziecka w tcp_v4_syn_recv_sock()), gdy klon jest
freed, a tcp_v4_reqsk_destructor() również używa zwykłej funkcji kfree().

Czytelnicy korzystają już z RCU i innych ścieżek zastępujących inet_opt
(do_ip_setsockopt(), cipso_v4_sock_setattr()...) już używają
kfree_rcu(). Użyj kfree_rcu() w inet_sock_destruct() i
tcp_v4_reqsk_destructor() również.

Pierwszy problem nie dotyczy protokołu IPv6, ponieważ tcp_v6_syn_recv_sock()
duplikuje opcje. tcp_v6_reqsk_destructor() ma to samo
problem z migracją z ipv6_opt, który jest ustawiany tylko przez CALIPSO. To
zostanie omówione w osobnej łatce.

In the Linux kernel, the following vulnerability has been resolved:

ipv4: free inet_opt and ireq_opt after an RCU grace period

tcp_v4_syn_recv_sock() transfers ownership of ireq->ireq_opt to the
child socket (newinet->inet_opt) without copying it.

Another cpu can concurrently process a retransmitted SYN for the same
request socket, and send a SYNACK from tcp_check_req().
tcp_v4_send_synack() and inet_csk_route_req() read ireq->ireq_opt
under rcu_read_lock() only, and ip_build_and_send_pkt() and
ip_options_build() then read opt->optlen twice.

Note that the SYNACK timer itself is not an issue: it holds a
reference on its request socket, and inet_csk_reqsk_queue_drop()
calls timer_delete_sync() before the child can be freed.

Since commit 079096f103fa ("tcp/dccp: install syn_recv requests
into ehash table"), request sockets are processed without holding
the listener lock, so nothing prevents the child socket from being
freed while the SYNACK is still being built. TCP child sockets do
not have SOCK_RCU_FREE, and inet_sock_destruct() frees inet_opt
with a plain kfree(), leading to a use-after-free in
ip_options_build().

A similar issue exists with request socket migration
(net.ipv4.tcp_migrate_req=1, or a BPF_SK_REUSEPORT_SELECT_OR_MIGRATE
program). reqsk_timer_handler() clones the request socket with
inet_reqsk_clone(), so that the old request socket and its clone
share the same ireq_opt, then reqsk_migrate_reset() clears the
pointer in the old one. Another cpu holding a reference on the old
request socket can still be using these options (sending a SYNACK,
or creating a child in tcp_v4_syn_recv_sock()) when the clone is
freed, and tcp_v4_reqsk_destructor() also uses a plain kfree().

Readers already use RCU, and other paths replacing inet_opt
(do_ip_setsockopt(), cipso_v4_sock_setattr()...) already use
kfree_rcu(). Use kfree_rcu() in inet_sock_destruct() and
tcp_v4_reqsk_destructor() as well.

IPv6 is not affected by the first issue, because tcp_v6_syn_recv_sock()
duplicates the options. tcp_v6_reqsk_destructor() has the same
migration issue with ipv6_opt, which is only set by CALIPSO. This
will be addressed in a separate patch.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve