Odebrany

CVE-2026-98797

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: cap skb->queue_mapping, gdy wybrana zostanie kolejka tx

skbedit może ustawić skb->queue_mapping i podnieść skip_txqueue dla każdego procesora
flag, aby funkcja __dev_queue_xmit() honorowała mapowanie. __dev_queue_xmit()
wyczyściłem flagę przed sch_handle_egress() i przeczytałem ją dopiero później,
więc flaga nie była ograniczona do xmit, który ją ustawił: zagnieżdżony xmit
(mirred przekierowanie lub lustro lub upuszczenie po skbedit) może ustawić flagę
a zewnętrzny xmit zużyłby go na skb, który nigdy nie przeszedł
skbedit.

Przesłany pakiet nadal niesie ze sobą rx_queue wejściowej karty sieciowej + 1 cal
skb->queue_mapping, więc urządzenie zewnętrzne następnie indeksuje stan swojej kolejki tx
z tą przestarzałą wartością. Tablica podrzędna Taprio q->qdiscs[] ma rozmiar
liczba kolejek urządzenia, więc taprio_enqueue() indeksuje poza przydziałem
i wyłudza wynik jako strukturę Qdisc *.

Używamy (ab) skb->nf_skip_egress, co oznacza „pomiń wyjście netfilter
dla tego pakietu” oznaczyć tagiem „Czy jestem na wyjściu z połączenia?”. Pomimo przeciążenia
Nie postrzegam tego jako konfliktu, ponieważ znacznik jest ustawiony tylko wokół
pojedyncze wywołanie sch_handle_egress() i ścieżka ingresu są strzeżone
tc_at_ingress.
Wyślę kolejną łatkę (net-next), gdy trafi ona do sieci obok
zmień nazwę bitu/flagi skb->nf_skip_egress na skb->skip_egress

Uzbrój flagę tylko z klasyfikatora wyjściowego, który może z niej korzystać: podnieś
skip_txqueue z tcf_skbedit_act() tylko wtedy, gdy działa wewnątrz
sch_handle_egress(), dzięki skb->nf_skip_egress. Kolejka wyjściowa
klasyfikator działa w q->enqueue(), po wybraniu kolejki tx,
więc ustawione przez niego mapowanie nie może mieć wpływu na bieżący pakiet; uzbrojenie flagi
zanieczyszcza to tylko do późniejszego xmit. Następnie zdobądź flagę dla xmit
ramka, w której działa hak wyjściowy: zapisz przychodzącą wartość i po prostu ją wyczyść
przed sch_handle_egress() i przywróć go po haku - na
zużyta (upuszczona) ścieżka lub w tym samym wywołaniu, które ją odczytuje, na ścieżce
ocalała ścieżka. Zapis i przywracanie pozostają w pliku
egress_needed_key gałąź statyczna, więc pakiet płaci za nie tylko wtedy, gdy
haki wyjściowe są aktywne (2f1e85b1aee4).

Zapisz wybraną wartość netdev_cap_txqueue() z powrotem w skb->queue_mapping
w netdev_tx_queue_mapping(), ponieważ netdev_core_pick_tx() już to robi, więc
ścieżka skip_txqueue nigdy nie udostępnia późniejszego czytnika na ścieżce xmit a
mapowanie urządzenia nie może służyć. Sklep wykonany jeszcze później w tym samym
ramka, przez program tc BPF dołączony do kolejki nadawczej, znajduje się poza nią
ścieżka i nie jest ponownie ograniczona; osobna kontynuacja rozwiąże tę ścieżkę.

netdev_xmit_skip_txqueue() zwraca poprzednią wartość flagi, więc
zapisanie i wyczyszczenie to jedno wywołanie, a gdy zostanie wyświetlony komunikat o braku operacji
CONFIG_NET_EGRESS jest wyłączony. skb->nf_skip_egress jest kompilowany w ramach
CONFIG_NET_EGRESS zamiast CONFIG_NETFILTER_SKIP_EGRESS, więc
skb_at_tc_egress() jest poprawna zawsze, gdy budowana jest ścieżka wyjścia.

Użytkownik lokalny w sieciowej przestrzeni nazw może przekierować pakiet z urządzenia
z większą liczbą kolejek TX na kolejkę z mniejszą liczbą po ustawieniu tylko prawidłowego mapowania
na większym urządzeniu. Dochodzi do tych odczytów i pod KASAN-em błędów
z „płytą poza granicami w taprio_enqueue”.

Warunki odtworzenia błędu: wyzwalaczem raportu jest użytkownik lokalny
z CAP_NET_ADMIN w sieciowej przestrzeni nazw, więc nie jest potrzebny żaden program eBPF.
Przy CONFIG_NET_SCH_TAPRIO=y, CONFIG_NET_ACT_SKBEDIT=y,
CONFIG_NET_ACT_MIRRED=y, CONFIG_NET_CLS_MATCHALL=y,
CONFIG_NET_SCH_PRIO=y i KASAN włączone, utwórz qa (3 kolejki), qb
(2 kolejki) i qc (1 kolejka) jako urządzenia fikcyjne; umieść korzeń taprio na qb
(num_tc 1, kolejki 2@0) i clsact na wszystkich trzech; następnie dodaj wyjście
filtr matchall na każdym urządzeniu. Na qa: „akcja skbedit kolejka_mapping 2
akcja potokowa mirred przekierowanie wyjścia dev qb”. Na qb: „akcja odzwierciedlała wyjście
Mirror Dev QC”. Na qc: „akcja skbedit kolejka_mapping 0 potok”. Wyślij jednego
pakiet wysłany q. skbedit qc ustawia flagę, gdy zewnętrzny xmit qb jest włączony
lot; bez poprawki qb zużywa go i odczytuje taprio z dwoma wpisami
tablica podrzędna z nieaktualnym mapowaniem przekazanego pakietu. QC, którego
skb
---obcięty---

In the Linux kernel, the following vulnerability has been resolved:

net: cap skb->queue_mapping when the tx queue is picked

skbedit can set skb->queue_mapping and raise the per-CPU skip_txqueue
flag so __dev_queue_xmit() honours the mapping. __dev_queue_xmit()
cleared the flag before sch_handle_egress() and only read it afterwards,
so the flag was not confined to the xmit that set it: a nested xmit
(mirred redirect or mirror, or a drop after skbedit) could set the flag
and the outer xmit would consume it for an skb that never went through
skbedit.

A forwarded packet still carries the ingress NIC's rx_queue + 1 in
skb->queue_mapping, so the outer device then indexes its tx queue state
with that stale value. Taprio's child array q->qdiscs[] is sized to the
device's queue count, so taprio_enqueue() indexes past its allocation
and dereferences the result as a struct Qdisc *.

We (ab)use the skb->nf_skip_egress which means "skip netfilter egress
for this packet" to tag to "am I in tc egress?". Despite the overload
I dont see it as a conflict since the marker is set only around the
single sch_handle_egress() call and ingress path is guarded by
tc_at_ingress.
I will send a followup(net-next) patch once this hits net-next to
rename the skb->nf_skip_egress bit/flag to skb->skip_egress

Arm the flag only from the egress classifier that can use it: raise
skip_txqueue from tcf_skbedit_act() only when it runs inside
sch_handle_egress(), thanks to skb->nf_skip_egress. An egress qdisc
classifier runs in q->enqueue(), after the tx queue has been picked,
so a mapping it sets cannot affect the current packet; arming the flag
there only pollutes it for a later xmit. Then own the flag for the xmit
frame the egress hook runs in: save the incoming value and clear it just
before sch_handle_egress(), and restore it after the hook - on the
consumed (drop) path, or, in the same call that reads it, on the
surviving path. The save and the restores stay inside the
egress_needed_key static branch, so a packet pays for them only when
egress hooks are active (2f1e85b1aee4).

Store the value netdev_cap_txqueue() selected back into skb->queue_mapping
in netdev_tx_queue_mapping(), as netdev_core_pick_tx() already does, so
the skip_txqueue path never hands a later reader on the xmit path a
mapping the device cannot serve. A store made still later in the same
frame, by a tc BPF program attached to a transmit qdisc, is outside this
path and is not re-capped; a separate followup will resolve that path.

netdev_xmit_skip_txqueue() returns the previous flag value so the
save-and-clear is one call, and a no-op stub is provided when
CONFIG_NET_EGRESS is disabled. skb->nf_skip_egress is compiled under
CONFIG_NET_EGRESS rather than CONFIG_NETFILTER_SKIP_EGRESS, so
skb_at_tc_egress() is valid whenever the egress path is built.

A local user in a network namespace can redirect a packet from a device
with more TX queues to one with fewer after setting a mapping valid only
on the larger device. That reaches these reads and, under KASAN, faults
with "slab-out-of-bounds in taprio_enqueue".

Conditions to recreate the bug: the report's own trigger is a local user
with CAP_NET_ADMIN in a network namespace, so no eBPF program is needed.
With CONFIG_NET_SCH_TAPRIO=y, CONFIG_NET_ACT_SKBEDIT=y,
CONFIG_NET_ACT_MIRRED=y, CONFIG_NET_CLS_MATCHALL=y,
CONFIG_NET_SCH_PRIO=y and KASAN enabled, create qa (3 queues), qb
(2 queues) and qc (1 queue) as dummy devices; put a taprio root on qb
(num_tc 1, queues 2@0) and clsact on all three; then add an egress
matchall filter on every device. On qa: "action skbedit queue_mapping 2
pipe action mirred egress redirect dev qb". On qb: "action mirred egress
mirror dev qc". On qc: "action skbedit queue_mapping 0 pipe". Send one
packet out qa. qc's skbedit sets the flag while qb's outer xmit is in
flight; without the fix qb consumes it and reads its two-entry taprio
child array with the forwarded packet's stale mapping. A qc whose
skb
---truncated---

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve