CVE-2026-23279
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W jądrze Linux w funkcji mesh_rx_csa_frame() (moduł mac80211) występuje brak sprawdzenia NULL dla wskaźnika elems->mesh_chansw_params_ie. Gdy odbierana ramka akcji CSA nie zawiera elementu Mesh Channel Switch Parameters IE (ID 118), wskaźnik pozostaje NULL, co prowadzi do dereferencji NULL i awarii jądra (kernel panic). Podatność istnieje od wersji jądra v3.13 (2014).
Ocena ryzyka
Zdalny sąsiad w sieci mesh z ustanowionym połączeniem peer (PLINK_ESTAB) może wywołać awarię jądra (odmowa usługi) poprzez wysłanie spreparowanej ramki akcji SPECTRUM_MGMT/CHL_SWITCH. Nie jest wymagane żadne dodatkowe uwierzytelnienie poza domyślnym otwartym peeringiem mesh.
Rekomendacja
Zaktualizuj jądro Linux do wersji zawierającej poprawkę dodającą sprawdzenie NULL dla mesh_chansw_params_ie. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie lub wyłączenie funkcji mesh w mac80211 do czasu wdrożenia łatki.
Inne podatności w Linux kernel (mac80211)
Zobacz wszystkie- CVE-2026-98829Niskie ryzyko· EPSS 5%
W jądrze Linux w funkcji ieee80211_rx_h_defragment() podatność wynika z przepełnienia pola extra_len typu u16 podczas sumowania długości fragmentów ramek IEEE 802.11. Gdy suma długości fragmentów przekracza 65535 bajtów, wartość zawija się modulo 65536, co prowadzi do zbyt małej alokacji bufora i wywołania skb_over_panic() w kontekście softirq, powodując awarię jądra.
- CVE-2026-23396Średnie
W jądrze Linux w funkcji mesh_matches_local() (moduł mac80211) występuje bezwarunkowe odwołanie do ie->mesh_config. Gdy funkcja jest wywoływana z mesh_rx_csa_frame() i odebrana ramka akcji nie zawiera elementu Mesh Configuration IE, wskaźnik jest NULL, co prowadzi do dereferencji NULL i awarii jądra. Sąsiedni atakujący może to wykorzystać, wysyłając spreparowaną ramkę CSA z poprawnym Mesh ID IE, ale bez Mesh Configuration IE.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: fix NULL pointer dereference in mesh_rx_csa_frame() In mesh_rx_csa_frame(), elems->mesh_chansw_params_ie is dereferenced at lines 1638 and 1642 without a prior NULL check: ifmsh->chsw_ttl = elems->mesh_chansw_params_ie->mesh_ttl; ... pre_value = le16_to_cpu(elems->mesh_chansw_params_ie->mesh_pre_value); The mesh_matches_local() check above only validates the Mesh ID, Mesh Configuration, and Supported Rates IEs. It does not verify the presence of the Mesh Channel Switch Parameters IE (element ID 118). When a received CSA action frame omits that IE, ieee802_11_parse_elems() leaves elems->mesh_chansw_params_ie as NULL, and the unconditional dereference causes a kernel NULL pointer dereference. A remote mesh peer with an established peer link (PLINK_ESTAB) can trigger this by sending a crafted SPECTRUM_MGMT/CHL_SWITCH action frame that includes a matching Mesh ID and Mesh Configuration IE but omits the Mesh Channel Switch Parameters IE. No authentication beyond the default open mesh peering is required. Crash confirmed on kernel 6.17.0-5-generic via mac80211_hwsim: BUG: kernel NULL pointer dereference, address: 0000000000000000 Oops: Oops: 0000 [#1] SMP NOPTI RIP: 0010:ieee80211_mesh_rx_queued_mgmt+0x143/0x2a0 [mac80211] CR2: 0000000000000000 Fix by adding a NULL check for mesh_chansw_params_ie after mesh_matches_local() returns, consistent with how other optional IEs are guarded throughout the mesh code. The bug has been present since v3.13 (released 2014-01-19).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS