Odebrany

CVE-2026-98811

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net/sched: cls_api: odzyskaj puste proto na ścieżce błędu

Dwa filtry wyścigowe tc dodają żądania w tym samym łańcuchu/prio
odblokowany klasyfikator uruchamia funkcję Change() na współdzielonym proto i oba
może się nie udać: zwycięzca próbuje tcf_chain_tp_delete_empty() poddaje się
ponieważ uchwyt przegranego jest nadal w idr, a uchwyt przegranego
ścieżka błędu usuwa tylko własne odniesienie bez drugiego odzyskiwania
próba. Puste proto pozostaje połączone w łańcuchu, trzymając
odniesienie do łańcucha, odniesienie do bloku i moduł klasyfikatora
odniesienia, dopóki łańcuch lub blok nie zostanie zerwany.

Odzyskaj proto na ścieżce błędu każdego nieudanego żądania, które się utrzymuje
proto-odniesienie. Rekultywacja jest zamknięta dla pustki:
tcf_chain_tp_delete_empty() rozłącza proto tylko wtedy, gdy
Delete_empty() przyznaje, że jest pusta, więc wspólne proto na żywo nigdy nie jest
niepołączony. Proto utworzone żądanie jest odzyskiwane bezwarunkowo -
jest jedynym właścicielem, dlatego oznaczenie go do usunięcia jest bezpieczne nawet bez niego
wywołanie zwrotne usuwania_empty. Klasyfikatory bez jednego (zaznaczenie oznacza
proto bezwarunkowo) są serializowane przez rtnl, więc okno wyścigowe this
zamknięcie straży nie może dla nich nastąpić.

Jest to kontynuacja zatwierdzenia d4e359b3608a („net/sched: cls_api: fix
rozbiórka adoptowanego proto w wyniku utraty wyścigu wstawiania”), co zatrzymało
przegrany wyścigu wstawiania z powodu odłączenia proto zwycięzcy na żywo, ale
pozostawił resztę pustego proto na miejscu.

Warunki do odtworzenia:
- CONFIG_NET_CLS_FLOWER=y; veta para
- tc qdisc dodaj wejście dev veth0
- dwa jednoczesne filtry `tc dodają protokół wejściowy dev veth0 ip pref 1
kwiat skip_sw ... upuszczenie akcji` (oba kończą się niepowodzeniem w fl_hw_replace_filter
po opublikowaniu swojego uchwytu w idr); powtórz w pętli
- pusty kwiat tp pozostaje połączony po niepowodzeniu obu żądań; widoczne
jako czysty „protokół filtrujący ip pref 1 łańcuch kwiatowy 0” nagłówek
`tc filter show` bez wpisów filtrów
- CAP_NET_ADMIN (przestrzeń nazw-lokalna poprzez unshare - wystarczy Urn)

In the Linux kernel, the following vulnerability has been resolved:

net/sched: cls_api: reclaim an empty proto on the error path

Two racing tc filter add requests on the same chain/prio of an
unlocked classifier both run change() on the shared proto and both
can fail: the winner's tcf_chain_tp_delete_empty() attempt gives up
because the loser's handle is still in the idr, and the loser's
error path drops only its own reference without a second reclamation
attempt. The empty proto stays linked in the chain, holding the
chain reference, a block reference and the classifier module
reference until the chain or block is torn down.

Reclaim the proto on the error path of any failed request that holds
a proto reference. The reclamation is emptiness-gated:
tcf_chain_tp_delete_empty() unlinks the proto only when
delete_empty() admits it is empty, so a live shared proto is never
unlinked. A proto the request created is reclaimed unconditionally -
it is the only owner, so marking it for deletion is safe even without
a delete_empty callback. Classifiers without one (the check marks the
proto unconditionally) are rtnl-serialized, so the raced window this
guard closes cannot arise for them.

This is a follow-up to commit d4e359b3608a ("net/sched: cls_api: fix
teardown of an adopted proto on insert-race loss"), which stopped the
loser of the insert race from unlinking the winner's live proto but
left the empty-proto residual in place.

Conditions to recreate:
- CONFIG_NET_CLS_FLOWER=y; veth pair
- tc qdisc add dev veth0 ingress
- two concurrent `tc filter add dev veth0 ingress protocol ip pref 1
flower skip_sw ... action drop` (both fail in fl_hw_replace_filter
after publishing their handle in the idr); repeat in a loop
- an empty flower tp stays linked after both requests fail; visible
as a bare `filter protocol ip pref 1 flower chain 0` header in
`tc filter show` with no filter entries
- CAP_NET_ADMIN (namespace-local via unshare -Urn suffices)

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve