Odebrany

CVE-2026-98610

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net/sched: sch_hfsc: powiązano klasyfikację przechodzenia przez filtr wewnętrzny z budżetem dryfu

hfsc_classify() stosuje kontrolę poziomu „filtr może wskazywać tylko w dół”.
tylko wtedy, gdy wynik filtru nie zawiera powiązanej klasy. Filtr stworzony za pomocą
flowid pobiera wartość res.class raz w momencie wiązania, więc sprawdzanie nigdy nie jest wykonywane
to podczas klasyfikacji. hfsc_just_levels() może później podnieść poziom klasy
poziom bez ponownego sprawdzania istniejących powiązań, pozostawiając dwa wiązania, które były
każdy legalny w momencie wiązania wskazuje na siebie; następnie spacer klasyfikacyjny
przełącza się pomiędzy dwiema klasami wewnętrznymi w nieskończoność, przytrzymując blokadę qdisc i
BH wyłączone — miękkie blokowanie z pojedynczego pakietu. Utknięte spacery
pies stróżujący:

watchdog: BŁĄD: miękka blokada - procesor nr 3 utknął na 13 s! [ping:444]
RIP: 0010:u32_classify+0x542/0x17f0
...
tcf_classify+0x66/0xa0
hfsc_enqueue+0x166/0xdf0

Ograniczenie przejścia budżetem niezstępujących przeskoków, jedyny sposób a
skonfigurowany spacer może się poruszać bez schodzenia z drzewa klas po osiągnięciu kolejnego poziomu
dryf po czasie wiązania. Budżet kumuluje się na cały spacer i
nie jest celowo resetowany przy skoku zstępującym: łańcuch, który zmienia się a
zjazd z bocznym podskokiem zwróciłby budżet na każdym okrążeniu i nigdy
wycieczka. Zstępujące przeskoki nigdy go nie zmniejszają, tak jest w przypadku głębokich drzew
nie ma to wpływu, a kończący łańcuch boczny nadal klasyfikuje się normalnie.
Upuść pakiet z ostrzeżeniem o ograniczonej szybkości po wyczerpaniu budżetu,
odzwierciedlające połączoną poprawkę HTB.

Jest to kontynuacja zatwierdzenia 729c4896ab82 („net/sched: sch_htb: limit
htb_classify przeskoki filtrów klasy wewnętrznej”), które ograniczały tę samą klasyfikację
pętla po stronie HTB, ale pozostawiła spacer HFSC nieograniczony.

Warunki odtworzenia błędu:
- CONFIG_NET_SCHED, CONFIG_NET_SCH_HFSC, CONFIG_NET_CLS_U32,
CONFIG_LOCKUP_DETECTOR.
- Zbuduj cykl z dwoma legalnymi wiązaniami płynnymi w czasie wiązania i poziomem
dryf: klasa X 1:1 (dziecko korzenia) z dzieckiem liścia 1:10; klasa Y 1:2
(rodzeństwo X) z dziećmi 1:20 i 1:200; przepływ filtra root u32
1:1; filtr na przepływie X 1:2 (dopuszczalne, gdy Y jest liściem); po poziomie Y
wzrasta do 2, filtruj na Y o przepływie 1:1 (wtedy legalne). Wyślij jeden pakiet (ping
na urządzeniu). Nienaprawione jądro: klasyfikuj spiny za pomocą blokady qdisc
trzymany; z softlockup_panic=1 wpada w panikę.
- Dostępny dla nieuprzywilejowanego użytkownika poprzez unshare -Urn (CAP_NET_ADMIN).

In the Linux kernel, the following vulnerability has been resolved:

net/sched: sch_hfsc: bound the classify inner-filter walk with a drift budget

hfsc_classify() applies the "filter may only point downwards" level check
only when the filter result carries no bound class. A filter created with
a flowid gets res.class set once at bind time, so the check never runs for
it during classification. hfsc_adjust_levels() can later raise a class's
level without revalidating existing bindings, leaving two binds that were
each legal at bind time pointing at each other; the classify walk then
bounces between two interior classes forever with the qdisc lock held and
BH disabled — a soft lockup from a single packet. The stuck walk trips
the watchdog:

watchdog: BUG: soft lockup - CPU#3 stuck for 13s! [ping:444]
RIP: 0010:u32_classify+0x542/0x17f0
...
tcf_classify+0x66/0xa0
hfsc_enqueue+0x166/0xdf0

Bound the traversal with a budget of non-descending hops, the only way a
configured walk can move without descending the class tree once levels
drift after bind time. The budget is cumulative over the whole walk and
is deliberately not reset on a descending hop: a chain that alternates a
descent with a lateral hop would return the budget every lap and never
trip. Descending hops never decrement it, so legitimately deep trees are
unaffected and a terminating lateral chain still classifies normally.
Drop the packet with a rate-limited warning once the budget is exhausted,
mirroring the merged HTB fix.

This is a follow-up to commit 729c4896ab82 ("net/sched: sch_htb: limit
htb_classify inner-class filter hops"), which bounded the same classify
loop on the HTB side but left the HFSC walk unbounded.

Conditions to recreate the bug:
- CONFIG_NET_SCHED, CONFIG_NET_SCH_HFSC, CONFIG_NET_CLS_U32,
CONFIG_LOCKUP_DETECTOR.
- Build a cycle with two legal-at-bind-time flowid binds and a level
drift: class X 1:1 (child of root) with leaf child 1:10; class Y 1:2
(sibling of X) with children 1:20 and 1:200; root u32 filter flowid
1:1; filter on X flowid 1:2 (legal when Y is a leaf); after Y's level
rises to 2, filter on Y flowid 1:1 (legal then). Send one packet (ping
on the device). Unfixed kernel: classify spins with the qdisc lock
held; with softlockup_panic=1 it panics.
- Reachable from unprivileged user via unshare -Urn (CAP_NET_ADMIN).

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve