CVE-2023-54094
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność powodującą uszkodzenie buforów skb podczas segmentacji list fragmentów. Problem występuje, gdy pakiety przetworzone przez rx-gro-list są przekazywane przez most zarówno do lokalnego wejścia, jak i do urządzenia wyjściowego (tun), co prowadzi do niebezpiecznego zapisu do sklonowanych buforów ze współdzielonymi nagłówkami. Skutkuje to błędami krytycznymi, takimi jak dereferencja pustego wskaźnika.
Ocena ryzyka
Podatność może prowadzić do awarii systemu (paniki jądra) w wyniku uszkodzenia pamięci, co może być wykorzystane do ataku DoS. Dotyczy systemów z włączoną funkcją rx-gro-list i mostkowaniem sieciowym.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez dystrybucję jądra Linux. Jeśli to możliwe, tymczasowo wyłącz funkcję rx-gro-list lub ogranicz użycie mostów w środowiskach o wysokim ryzyku.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-93204Nieznane
W jądrze Linux moduł batman-adv aktualizował adresy MAC za pomocą zwykłego kopiowania, co mogło być częściowo widoczne dla równoległych czytelników. Czytelnik mógł przesłać do sieci niepełny adres MAC lub użyć go w odpowiedziach ARP, zatruwając pamięć podręczną ARP. Poprawka stosuje atomic64_t do przechowywania 48-bitowego adresu MAC, zapewniając, że czytelnik widzi albo stary, albo nowy adres, nigdy mieszankę.
- CVE-2026-93202Nieznane
W jądrze Linux występuje błąd w podsystemie I3C, polegający na rekurencyjnym zakładaniu blokady podczas rejestracji nowych urządzeń I3C. Funkcja i3c_master_register_new_i3c_devs() rejestruje urządzenia, trzymając blokadę i3c_bus_normaluse_lock(), a wywołanie device_register() może natychmiast uruchomić procedurę probe, która ponownie próbuje założyć tę samą blokadę, co prowadzi do zakleszczenia. Problem został rozwiązany poprzez rozdzielenie tworzenia i rejestracji urządzeń oraz użycie blokady konserwacyjnej.
- CVE-2026-93200Nieznane
Podsystem I3C w jądrze Linux miał podatność use-after-free wskaźnika master->this. Wywołania zwrotne atrybutów sysfs używały tego wskaźnika po jego zwolnieniu, co powodowało naruszenie pamięci. Poprawka utrzymuje wskaźnik żywotność aż do momentu zwolnienia urządzenia i resetuje go na ścieżkach błędów.
- CVE-2026-93199Nieznane
W jądrze Linux funkcja i3c_master_search_i3c_dev_duplicate() wyszukująca duplikaty urządzeń I3C może błędnie dopasować samo urządzenie master (master->this), zwracając kontroler jako duplikat. Ponieważ kontroler nie jest urządzeniem docelowym, nie powinien być traktowany jako duplikat. Poprawka wyklucza master->this z dopasowania.
- CVE-2026-93198Nieznane
W jądrze Linux moduł dm-pcache nie waliduje łańcucha dirty_tail przy wczytywaniu. Złośliwy obraz, którego pola na nośniku są uwierzytelniane tylko przez crc32c ze stałym ziarnem, może wskazać dirty_tail na łańcuch ostatnich ksetów, który nigdy się nie kończy, powodując nieskończone ponowne uzbrajanie cache_writeback_fn(). Poprawka dodaje walidację łańcucha dirty_tail przy wczytywaniu z limitem przeskoków.
- CVE-2026-93197Nieznane
W jądrze Linux występuje błąd w mechanizmie memcg, w którym przy odłączaniu cgroup pamięci rozmiary LRU są kopiowane do rodzica zamiast być przenoszone, pozostawiając nieaktualne liczniki w dziecku. Powoduje to, że skaner LRU (lub MGLRU) odczytuje fałszywe rozmiary i wykonuje jałowe pętle skanowania na martwych cgroupach, co prowadzi do zawyżenia limitów i marnowania CPU. W jednym przypadku wykryto liczniki opisujące 476 GiB stron, czyli 1,89x więcej niż fizyczna pamięć hosta.
- CVE-2026-93195Nieznane
W jądrze Linux sterownik drm/bridge synopsys dw-dp inicjalizuje i rejestruje kanał AUX DisplayPort podczas dw_dp_bind(), ale nigdy go nie wyrejestrowuje. Może to prowadzić do wycieków zasobów i/lub use-after-free. Poprawka dodaje brakującą funkcję dw_dp_unbind() umożliwiającą sprzątanie.
- CVE-2026-93194Nieznane
W jądrze Linux w sterowniku drm/rockchip (dw_dp) zasoby rdzeniowe, takie jak kanał AUX DisplayPort, są inicjalizowane i rejestrowane podczas dw_dp_bind(), ale nigdy nie są wyrejestrowywane. Prowadzi to do wycieków pamięci i/lub użycia po zwolnieniu (use-after-free), co widać w raporcie KASAN. Problem został rozwiązany poprzez użycie funkcji dw_dp_unbind() w callbacku unbind() komponentu oraz w ścieżce błędu bind().
- CVE-2026-93193Nieznane
W jądrze Linux sterownik drm/rockchip analogix_dp ma wyciek referencji do węzła OF w rockchip_dp_drm_encoder_enable(), ponieważ of_get_child_by_name() nie wywołuje symetrycznie of_node_put(). Poprawka używa __free(device_node) do automatycznego zarządzania zwalnianiem referencji.
- CVE-2026-93191Nieznane
W jądrze Linux funkcja smack_msg_queue_msgrcv() błędnie sprawdza uprawnienia zadania 'current' zamiast zadania 'target'. W ścieżce optymalizacji pipelined_send() nadawca sprawdza uprawnienia w imieniu odbiorcy, więc nieuprawniony odbiorca może otrzymać wiadomość, naruszając politykę MAC Smack. Poprawka sprawdza uprawnienia zadania 'target'.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: net: prevent skb corruption on frag list segmentation Ian reported several skb corruptions triggered by rx-gro-list, collecting different oops alike: [ 62.624003] BUG: kernel NULL pointer dereference, address: 00000000000000c0 [ 62.631083] #PF: supervisor read access in kernel mode [ 62.636312] #PF: error_code(0x0000) - not-present page [ 62.641541] PGD 0 P4D 0 [ 62.644174] Oops: 0000 [#1] PREEMPT SMP NOPTI [ 62.648629] CPU: 1 PID: 913 Comm: napi/eno2-79 Not tainted 6.4.0 #364 [ 62.655162] Hardware name: Supermicro Super Server/A2SDi-12C-HLN4F, BIOS 1.7a 10/13/2022 [ 62.663344] RIP: 0010:__udp_gso_segment (./include/linux/skbuff.h:2858 ./include/linux/udp.h:23 net/ipv4/udp_offload.c:228 net/ipv4/udp_offload.c:261 net/ipv4/udp_offload.c:277) [ 62.687193] RSP: 0018:ffffbd3a83b4f868 EFLAGS: 00010246 [ 62.692515] RAX: 00000000000000ce RBX: 0000000000000000 RCX: 0000000000000000 [ 62.699743] RDX: ffffa124def8a000 RSI: 0000000000000079 RDI: ffffa125952a14d4 [ 62.706970] RBP: ffffa124def8a000 R08: 0000000000000022 R09: 00002000001558c9 [ 62.714199] R10: 0000000000000000 R11: 00000000be554639 R12: 00000000000000e2 [ 62.721426] R13: ffffa125952a1400 R14: ffffa125952a1400 R15: 00002000001558c9 [ 62.728654] FS: 0000000000000000(0000) GS:ffffa127efa40000(0000) knlGS:0000000000000000 [ 62.736852] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 62.742702] CR2: 00000000000000c0 CR3: 00000001034b0000 CR4: 00000000003526e0 [ 62.749948] Call Trace: [ 62.752498] <TASK> [ 62.779267] inet_gso_segment (net/ipv4/af_inet.c:1398) [ 62.787605] skb_mac_gso_segment (net/core/gro.c:141) [ 62.791906] __skb_gso_segment (net/core/dev.c:3403 (discriminator 2)) [ 62.800492] validate_xmit_skb (./include/linux/netdevice.h:4862 net/core/dev.c:3659) [ 62.804695] validate_xmit_skb_list (net/core/dev.c:3710) [ 62.809158] sch_direct_xmit (net/sched/sch_generic.c:330) [ 62.813198] __dev_queue_xmit (net/core/dev.c:3805 net/core/dev.c:4210) net/netfilter/core.c:626) [ 62.821093] br_dev_queue_push_xmit (net/bridge/br_forward.c:55) [ 62.825652] maybe_deliver (net/bridge/br_forward.c:193) [ 62.829420] br_flood (net/bridge/br_forward.c:233) [ 62.832758] br_handle_frame_finish (net/bridge/br_input.c:215) [ 62.837403] br_handle_frame (net/bridge/br_input.c:298 net/bridge/br_input.c:416) [ 62.851417] __netif_receive_skb_core.constprop.0 (net/core/dev.c:5387) [ 62.866114] __netif_receive_skb_list_core (net/core/dev.c:5570) [ 62.871367] netif_receive_skb_list_internal (net/core/dev.c:5638 net/core/dev.c:5727) [ 62.876795] napi_complete_done (./include/linux/list.h:37 ./include/net/gro.h:434 ./include/net/gro.h:429 net/core/dev.c:6067) [ 62.881004] ixgbe_poll (drivers/net/ethernet/intel/ixgbe/ixgbe_main.c:3191) [ 62.893534] __napi_poll (net/core/dev.c:6498) [ 62.897133] napi_threaded_poll (./include/linux/netpoll.h:89 net/core/dev.c:6640) [ 62.905276] kthread (kernel/kthread.c:379) [ 62.913435] ret_from_fork (arch/x86/entry/entry_64.S:314) [ 62.917119] </TASK> In the critical scenario, rx-gro-list GRO-ed packets are fed, via a bridge, both to the local input path and to an egress device (tun). The segmentation of such packets unsafely writes to the cloned skbs with shared heads. This change addresses the issue by uncloning as needed the to-be-segmented skbs.