Odebrany

CVE-2026-98829

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

wifi: mac80211: upuść zbyt duże fragmenty, aby uniknąć przepełnienia extra_len

W ieee80211_rx_h_defragment() ładunki fragmentów są gromadzone w
wpis->extra_len w miarę pojawiania się kolejnych fragmentów:

wpis->extra_len += rx->skb->len;

Kiedy nadejdzie ostatni fragment, fragment głowy jest usuwany z kolejki i
pskb_expand_head() jest wywoływana z wpisem->extra_len, aby zapewnić wystarczające
Tailroom dla wszystkich fragmentów znajdujących się w kolejce przed kopiowaniem:

if (skb_tailroom(rx->skb) < wpis->extra_len) {
if (mało prawdopodobne (pskb_expand_head(rx->skb, 0, wpis->extra_len,
GFP_ATOMIC))) {
...
}
}
while ((skb = __skb_dequeue(&entry->skb_list))) {
skb_put_data(rx->skb, skb->dane, skb->len);
dev_kfree_skb(skb);
}

W zatwierdzeniu 69f132236827 („mac80211: zmniejsz strukturę
ieee80211_fragment_entry"), wpis->extra_len został zawężony z unsigned
in do u16, aby zmniejszyć zużycie pamięci struktury.

Jednakże sekwencja ramek IEEE 802.11 może zawierać do 16 fragmentów
(numery fragmentów 0..15). Jeśli nadejdzie sekwencja dużych fragmentów (np
złośliwy peer lub fałszywy punkt dostępowy), suma długości fragmentów może przekroczyć
65535 bajtów (na przykład 15 fragmentów po 4400 bajtów daje łącznie 66000 bajtów).
Ponieważ extra_len to u16, ten dodatek przepełnia się i zawija
modulo 65536 (np. 66000 zwija się do 464).

W rezultacie pskb_expand_head() przydziela tylko obciętą ilość
Tailroom (lub jest całkowicie pomijany, jeśli fragment głowy ma już >= 464
bajtów Tailroom). Kiedy skb_put_data() następnie wykonuje iterację po
kolejkowana lista skb, dołącza pełny ładunek do niewymiarowego bufora,
powodując, że skb_put() uruchamia skb_over_panic() i powoduje awarię jądra
kontekst softirqa.

Prawidłowy MSDU w IEEE 802.11 ma maksymalnie 2304 bajty (lub maksymalnie 7935/11454
bajtów dla A-MSDU, który nie jest pofragmentowany), znacznie poniżej U16_MAX.

Napraw to bez zwiększania rozmiaru struktury ieee80211_fragment_entry przez
sprawdzenie, czy dodanie długości przychodzącego fragmentu nie przekroczy U16_MAX.
Jeśli tak, usuń fragmenty z kolejki i usuń klatkę.

[przypisz oddzielny powód rezygnacji]

In the Linux kernel, the following vulnerability has been resolved:

wifi: mac80211: drop oversized fragments to avoid extra_len overflow

In ieee80211_rx_h_defragment(), fragment payloads are accumulated into
entry->extra_len as subsequent fragments arrive:

entry->extra_len += rx->skb->len;

When the final fragment arrives, the head fragment is dequeued, and
pskb_expand_head() is called with entry->extra_len to ensure sufficient
tailroom for all queued fragments before copying:

if (skb_tailroom(rx->skb) < entry->extra_len) {
if (unlikely(pskb_expand_head(rx->skb, 0, entry->extra_len,
GFP_ATOMIC))) {
...
}
}
while ((skb = __skb_dequeue(&entry->skb_list))) {
skb_put_data(rx->skb, skb->data, skb->len);
dev_kfree_skb(skb);
}

In commit 69f132236827 ("mac80211: shrink struct
ieee80211_fragment_entry"), entry->extra_len was narrowed from unsigned
int to u16 in order to reduce structure memory footprint.

However, an IEEE 802.11 frame sequence can contain up to 16 fragments
(frag numbers 0..15). If a sequence of large fragments arrives (e.g. from
a malicious peer or rogue AP), the sum of fragment lengths can exceed
65535 bytes (for example, 15 fragments of 4400 bytes total 66000 bytes).
Because extra_len is a u16, this addition overflows and wraps around
modulo 65536 (e.g. 66000 wraps to 464).

Consequently, pskb_expand_head() allocates only the truncated amount of
tailroom (or is skipped entirely if the head fragment already has >= 464
bytes of tailroom). When skb_put_data() subsequently iterates through the
queued skb list, it appends the full payload into the undersized buffer,
causing skb_put() to trigger skb_over_panic() and crash the kernel in
softirq context.

A legitimate MSDU in IEEE 802.11 is at most 2304 bytes (or up to 7935/11454
bytes for A-MSDU, which is not fragmented), well below U16_MAX.

Fix this without increasing the size of struct ieee80211_fragment_entry by
checking whether adding the incoming fragment length would exceed U16_MAX.
If so, purge the queued fragments and drop the frame.

[assign a separate drop reason]

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve