Odebrany

CVE-2026-98595

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

udp: usuń odłączone gniazdo z 4-krotkowej tablicy mieszającej

Gniazdo UDP powiązane z określonym adresem i portem zachowuje swój wpis w pliku
4-krotkowa tablica mieszająca po jej odłączeniu:

sk wiąże się z 127.0.0.1:21001
sk łączy się z 127.0.0.2:20001 // zapisanym w 4-krotkowej tabeli
sk rozłącza się, połącz(AF_UNSPEC) // nadal w pliku, połącz się teraz 0.0.0.0:0

__udp_disconnect() usuwa gniazdo z tej tabeli tylko jako efekt uboczny
z ->rehash() lub ->unhash(), i pomija ->rehash() kiedy
SOCK_BINDADDR_LOCK jest ustawione i ->unhash(), gdy ustawione jest SOCK_BINDPORT_LOCK.
zatwierdzić 6996a2d2d0a6 („udp: Odblokuj automatycznie powiązane połączone sk z 4-krotkowego skrótu
table po rozłączeniu.”) naprawiono ten sam stan końcowy dla symboli wieloznacznych
gniazdem, ścieżką, którą ta nie podąża.

Wpis jest liczony niezależnie od tego, czy coś w niego trafi. hash4_cnt na
hash2 pozostaje podniesione tak długo, jak gniazdo żyje, więc udp_has_hash4()
wysyła każdy pakiet dla tego adresu i portu przez 4-krotkę
najpierw wyszukaj.

W przypadku protokołu IPv6 można go również trafić. __udp_disconnect() nie czyści sk_v6_daddr,
więc udp_v6_rehash() zapisuje wpis pod peerem, do którego zostało podłączone gniazdo
do z zerowym dportem, a inet6_match() porównuje to samo
pole: datagram od poprzedniego partnera z zerowym dopasowaniem portu źródłowego,
a port źródłowy zero jest akceptowany przy odbiorze. W przypadku IPv4 peer jest usuwany,
więc dopasowanie wymagałoby również zerowego adresu źródłowego, który jest routingiem
warstwa odrzuca jako marsjańską. Przestarzały sk_v6_daddr to osobna wada, a nie
adresowane tutaj; usunięcie wpisu zamyka tę ścieżkę w obu przypadkach.

Wpis można również przenieść. __udp_disconnect() czyści sk_bound_dev_if,
więc kolejne wywołania SO_BINDTODEVICE ->rehash() i ponieważ odbiór
adres jest nadal specyficzny. udp_lib_rehash() przenosi wpis zamiast
usuwając go do segmentu, który (rcv_saddr, num, 0, 0) miesza się z -- a
czysta funkcja adresu i portu, więc każde gniazdo osiąga ten stan
na jeden adres i port zbiera w jednym kubełku. Nie można wybrać wiadra
z zewnątrz, ponieważ udp_ehashfn() jest zaszczepiana sekretem na każdy rozruch. To ostatnie
jeden stał się osiągalny tylko po zatwierdzeniu 644f9108f3a5 („udp: Make rehash4
niezależna w udp_lib_rehash()”), co przeniosło obsługę hash4 z a
oddział, którego odłączone gniazdo nie zajmuje; daty samego nieaktualnego wpisu
z zatwierdzenia w Fixes.

Wyjmij gniazdo ze stołu przed uruchomieniem funkcji __udp_disconnect().
nadal zgadza się ze sposobem, w jaki został złożony. Dociera to również do przypadku z symbolami wieloznacznymi w przyszłości
gałęzi udp_unhash4() udp_lib_rehash(), pozostawiając tę gałąź nieosiągalną
z udp_disconnect(); usunięcie go należy do net-next. udp_disconnect()
i udp_abort() to jedyne wpisy UDP w __udp_disconnect(), czyli
współdzielone z gniazdami raw, ping i l2tp, które nie są strukturą udp_sock:
ping_prot.obj_size to sizeof(struct inet_sock), więc udp_hashed4() na jednym
przeczytałbym poza alokacją.

In the Linux kernel, the following vulnerability has been resolved:

udp: remove a disconnected socket from the 4-tuple hash table

A UDP socket bound to a specific address and port keeps its entry in the
4-tuple hash table after it is disconnected:

sk binds to 127.0.0.1:21001
sk connects to 127.0.0.2:20001 // filed in the 4-tuple table
sk disconnects, connect(AF_UNSPEC) // still filed, peer now 0.0.0.0:0

__udp_disconnect() takes a socket out of that table only as a side effect
of ->rehash() or ->unhash(), and it skips ->rehash() when
SOCK_BINDADDR_LOCK is set and ->unhash() when SOCK_BINDPORT_LOCK is set.
commit 6996a2d2d0a6 ("udp: Unhash auto-bound connected sk from 4-tuple hash
table when disconnected.") fixed the same end state for a wildcard-bound
socket, by a path this one does not take.

The entry is counted whether or not anything hits it. hash4_cnt on the
hash2 slot stays raised for as long as the socket lives, so udp_has_hash4()
keeps sending every packet for that address and port through the 4-tuple
lookup first.

On IPv6 it can also be hit. __udp_disconnect() does not clear sk_v6_daddr,
so udp_v6_rehash() files the entry under the peer the socket was connected
to with a zero dport, and inet6_match() compares that same
field: a datagram from the former peer with a zero source port matches,
and source port zero is accepted on receive. On IPv4 the peer is cleared,
so a match would need a zero source address as well, which the routing
layer rejects as martian. The stale sk_v6_daddr is a separate defect, not
addressed here; removing the entry closes this path either way.

The entry can also be relocated. __udp_disconnect() clears sk_bound_dev_if,
so a subsequent SO_BINDTODEVICE calls ->rehash(), and because the receive
address is still specific udp_lib_rehash() moves the entry instead of
removing it, into the bucket that (rcv_saddr, num, 0, 0) hashes to -- a
pure function of the address and port, so every socket reaching this state
on one address and port collects in one bucket. The bucket cannot be chosen
from outside, as udp_ehashfn() is seeded with a per-boot secret. This last
one became reachable only with commit 644f9108f3a5 ("udp: Make rehash4
independent in udp_lib_rehash()"), which moved the hash4 handling out of a
branch a disconnected socket does not take; the stale entry itself dates
from the commit in Fixes.

Take the socket out of the table before __udp_disconnect() runs, while it
still matches how it was filed. This also reaches the wildcard case ahead
of udp_lib_rehash()'s udp_unhash4() branch, leaving that branch unreachable
from udp_disconnect(); removing it belongs in net-next. udp_disconnect()
and udp_abort() are the only UDP entries into __udp_disconnect(), which is
shared with raw, ping and l2tp sockets that are not struct udp_sock:
ping_prot.obj_size is sizeof(struct inet_sock), so udp_hashed4() on one
would read past the allocation.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve