Odebrany

CVE-2026-99191

opublikowano: 28.10.2026, 12:17

modyfikacja: 28.10.2026, 12:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

calipso: zachowaj BIG TCP payload_len w calipso_skbuff_setattr()

calipso_skbuff_setattr() dostosowuje payload_len o długość
opcja wstawia lub zmienia rozmiar:

ładunek = ntohs(ip6_hdr->ładunek_len);
ip6_hdr->ładunek_len = htons(ładunek + len_delta);

GRO może budować DUŻE pakiety TCP większe niż IPV6_MAXPLEN i przechowywać je
payload_len == 0 dla nich; ipv6_payload_len() następnie powraca do
skb->len. W przypadku takiego pakietu przekazywanego do zamapowanego miejsca docelowego
CALIPSO, powyższy kod zapisuje len_delta (lub 65536 + len_delta, gdy
zmniejsza się) do payload_len, a ipv6_payload_len() już nie spada
wróć do skb->len. Polegają na nim nf_tables, conntrack i sch_cake.

Ta sama arytmetyka kończy się również, gdy pakiet przekracza IPV6_MAXPLEN,
i DUŻY pakiet TCP, który zmniejsza się poniżej IPV6_MAXPLEN, powinien go otrzymać
rzeczywista długość tyłu.

Ustaw payload_len na podstawie długości skb za pomocą ipv6_set_payload_len(), który
przechowuje 0 powyżej IPV6_MAXPLEN i rzeczywistą długość w przeciwnym razie, as
ipv6_gro_complete() tak. Nagłówek sieciowy został właśnie zresetowany
skb->data, więc skb->len - sizeof(*ip6_hdr) to długość ładunku.

Testowane na jednym jądrze (arm64, QEMU) z SELinux permissive, minimalna
Polityka wygenerowana przez mdp (network_peer_controls=1), "netlabelctl calipso
dodaj pass doi:16" i mapowanie NetLabel fd00:2::/64 do CALIPSO
DOI 16. Wywołano calipso_skbuff_setattr().
netlbl_skbuff_setattr() z haka debugfs przeznaczonego tylko do testów (nie jest częścią
ta poprawka) dodanie etykiety tylko dla poziomu; payload_len po wywołaniu:

przypadek przed poprawką po naprawieniu rzeczywistej długości
1000, bez etykiety 1016 1016 1016
70000 GSO, ładowność_len 0 16 0 70016
65530 GSO, przekracza MAXPLEN 10 0 65546
65540 GSO z 24-bajtowym przeskokiem
nagłówek, kurczy się poniżej MAXPLEN 65528 65532 65532
1000 z 24-bajtowym nagłówkiem przeskoku 992 992 992

(0 oznacza, że ipv6_payload_len() zwraca rzeczywistą długość.) Dalej
path, przy czym klient wstrzykuje nieoznakowany UDP przez router do a
serwer, router dodaje opcję CALIPSO, a serwer dostarcza wszystko
datagramy (Udp6InDatagrams 5, Ip6InTruncatedPkts 0) za pomocą tej poprawki.

In the Linux kernel, the following vulnerability has been resolved:

calipso: keep BIG TCP payload_len in calipso_skbuff_setattr()

calipso_skbuff_setattr() adjusts payload_len by the length of the
option it inserts or resizes:

payload = ntohs(ip6_hdr->payload_len);
ip6_hdr->payload_len = htons(payload + len_delta);

GRO can build BIG TCP packets larger than IPV6_MAXPLEN, and stores
payload_len == 0 for them; ipv6_payload_len() then falls back to
skb->len. For such a packet forwarded to a destination mapped to
CALIPSO, the code above writes len_delta (or 65536 + len_delta when
shrinking) into payload_len, and ipv6_payload_len() no longer falls
back to skb->len. nf_tables, conntrack and sch_cake rely on it.

The same arithmetic also wraps when a packet grows past IPV6_MAXPLEN,
and a BIG TCP packet that shrinks below IPV6_MAXPLEN should get its
real length back.

Set payload_len from the skb length with ipv6_set_payload_len(), which
stores 0 above IPV6_MAXPLEN and the real length otherwise, as
ipv6_gro_complete() does. The network header was just reset to
skb->data, so skb->len - sizeof(*ip6_hdr) is the payload length.

Tested on one kernel (arm64, QEMU) with SELinux permissive, a minimal
mdp-generated policy (network_peer_controls=1), "netlabelctl calipso
add pass doi:16" and a NetLabel mapping of fd00:2::/64 to CALIPSO
DOI 16. calipso_skbuff_setattr() was called through
netlbl_skbuff_setattr() from a test-only debugfs hook (not part of
this patch) adding a level-only label; payload_len after the call:

case before fix after fix real length
1000, unlabeled 1016 1016 1016
70000 GSO, payload_len 0 16 0 70016
65530 GSO, grows past MAXPLEN 10 0 65546
65540 GSO with a 24 byte hop
header, shrinks below MAXPLEN 65528 65532 65532
1000 with a 24 byte hop header 992 992 992

(0 means ipv6_payload_len() returns the real length.) On the forward
path, with a client injecting unlabeled UDP through a router to a
server, the router adds the CALIPSO option and the server delivers all
datagrams (Udp6InDatagrams 5, Ip6InTruncatedPkts 0) with this patch.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve