Odebrany

CVE-2026-98968

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

amt: wyślij zapytanie ogólne przekaźnika bezpośrednio ze ścieżki odbiorczej

Skb ustawiony w kolejce w qdisc może przetrwać tunel, do którego się odnosi
poprzez surowy wskaźnik w skb->cb. Na przykład przy ustawieniu igmp_qrv
do 1 na przekaźniku, tunel żyje przez 135 s, więc opóźnienie sieci wynosi
180 s na urządzeniu amt przeżywa to; kiedy tunel wygasa i jest
zwolniony, kolejne usunięcie z kolejki wyzwala użycie po zwolnieniu
amt_dev_xmit().

BŁĄD: KASAN: użycie płyty po zwolnieniu w amt_dev_xmit+0x2763/0x2e20
Zadzwoń do śledzenia:
amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c:1262]
dev_hard_start_xmit+0x22f/0x620
sch_direct_xmit+0x12e/0xac0
netem_dequeue+0x333/0xc50
net_tx_action+0x35c/0xa60

amt_send_igmp_gq() i amt_send_mld_gq() są wywoływane tylko z
amt_request_handler(), w sekcji rcu_read_lock_bh() pliku
amt_rcv(). Funkcja amt_request_handler() ma już tunel, którego dotyczy zapytanie
for: znalazł lub utworzył go w tej sekcji. Kolejkowanie zapytania za pomocą
dev_queue_xmit() prowadzi tylko z powrotem do amt_dev_xmit(), która usuwa
nagłówek Ethernet i wywołania amt_send_membership_query() dla tego tunelu.

Zamiast tego wykonaj to połączenie bezpośrednio od dwóch nadawców w ten sam sposób
amt_send_advertisement() transmituje ze ścieżki odbiorczej. Zapytanie
nigdy nie czeka w qdisc, tunel jest wyłuskiwany jedynie wewnątrz
Sekcja RCU, która ją znalazła lub utworzyła, i w której nic nie jest zapisane
skb->cb, więc nie jest potrzebne żadne wyszukiwanie ani przeliczanie. Usuń gałąź zapytania
amt_dev_xmit(), amt_skb_cb() i struct amt_skb_cb, które nie mają
użytkownicy opuścili.

Zmiany zachowania:
- Własne zapytania ogólne przekaźnika nie przechodzą już przez amt
ścieżka wyjścia urządzenia: jego qdisc, wyjście tc (clsact/tcx),
hak wyjściowy netfilter i zaczepy pakietowe. Nadal są widoczne jako
UDP na podkładce.
- Zapytanie, które zostało wysłane pomyślnie, nie jest już liczone jako
tx_dropped. Stara gałąź zapytania pozostawiona przez etykietę odblokowania,
który liczył każde wysłane zapytanie jako porzucone.
- Zapytanie docierające do amt_dev_xmit() na przekaźniku z innego miejsca,
taki jak zapytanie przestrzeni użytkownika, jest teraz odrzucany przy typie IGMP/MLD
przełącznik. Wcześniej ufał wszystkiemu, co posiadał skb->cb i miał wartość NULL
tunel uderzył w WARN_ON(1).

In the Linux kernel, the following vulnerability has been resolved:

amt: send the relay's General Query directly from the receive path

An skb queued in a qdisc can outlive the tunnel it references
through a raw pointer in skb->cb. For example, with igmp_qrv set
to 1 on the relay a tunnel lives for 135s, so a netem delay of
180s on the amt device outlives it; when the tunnel expires and is
freed, the subsequent dequeue triggers a use-after-free in
amt_dev_xmit().

BUG: KASAN: slab-use-after-free in amt_dev_xmit+0x2763/0x2e20
Call Trace:
amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c:1262]
dev_hard_start_xmit+0x22f/0x620
sch_direct_xmit+0x12e/0xac0
netem_dequeue+0x333/0xc50
net_tx_action+0x35c/0xa60

amt_send_igmp_gq() and amt_send_mld_gq() are only called from
amt_request_handler(), inside the rcu_read_lock_bh() section of
amt_rcv(). amt_request_handler() already has the tunnel the query is
for: it found or created it inside that section. Queuing the query with
dev_queue_xmit() only leads back into amt_dev_xmit(), which strips the
Ethernet header and calls amt_send_membership_query() for that tunnel.

Make that call directly from the two senders instead, the same way
amt_send_advertisement() transmits from the receive path. The query
never waits in a qdisc, the tunnel is only dereferenced inside the
RCU section that found or created it, and nothing is stored in
skb->cb, so no lookup or refcount is needed. Remove the query branch
of amt_dev_xmit(), amt_skb_cb() and struct amt_skb_cb, which have no
users left.

Behaviour changes:
- The relay's own General Queries no longer pass through the amt
device's egress path: its qdisc, tc egress (clsact/tcx), the
netfilter egress hook and packet taps. They are still visible as
UDP on the underlay.
- A query that is sent successfully is no longer counted as
tx_dropped. The old query branch left through the unlock label,
which counted every sent query as dropped.
- A query that reaches amt_dev_xmit() on a relay from elsewhere,
such as a userspace querier, is now dropped at the IGMP/MLD type
switch. Before, it trusted whatever skb->cb held, and a NULL
tunnel hit the WARN_ON(1).

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve