CVE-2026-64566
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W jądrze Linux w xfrm iptfs występuje brak propagacji flagi SKBFL_SHARED_FRAG podczas kopiowania fragmentów w funkcji iptfs_skb_add_frags(). Jeśli źródłowy SKB zawiera współdzielone fragmenty, nowy wewnętrzny SKB może być błędnie traktowany jako posiadający prywatne fragmenty, co prowadzi do zapisu do pamięci nadal używanej przez zewnętrzny SKB. Poprawka ustawia flagę SKBFL_SHARED_FRAG w pętli po każdym dodaniu fragmentu.
Ocena ryzyka
Podatność może prowadzić do uszkodzenia pamięci jądra i awarii systemu, a także może być wykorzystana do eskalacji uprawnień w środowisku sieciowym.
Rekomendacja
Zaleca się aktualizację jądra Linux do wersji z poprawką oraz monitorowanie systemów pod kątem nietypowych zachowań sieciowych.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: xfrm: iptfs: propagate SKBFL_SHARED_FRAG in iptfs_skb_add_frags() When iptfs_skb_add_frags() copies frag references from the source frag walk into a new SKB, it increments the page reference count via __skb_frag_ref() but does not propagate SKBFL_SHARED_FRAG to the destination SKB's skb_shinfo->flags. If the source SKB carries shared frags (e.g. from a page-pool backed receive path), the new inner SKB will appear to ESP as having privately owned frags. A subsequent esp_input() call for a nested transport-mode SA then takes the no-COW fast path and decrypts in place, writing over pages that are still referenced by the outer IPTFS SKB. This causes kernel-visible memory corruption and can trigger a panic. All other frag-transfer helpers in the kernel (skb_try_coalesce, skb_gro_receive, __pskb_copy_fclone, skb_shift, skb_segment) correctly propagate SKBFL_SHARED_FRAG; align iptfs_skb_add_frags() with this convention by setting the flag inside the loop immediately after __skb_frag_ref() and nr_frags++, so every exit path that attaches a frag unconditionally propagates SKBFL_SHARED_FRAG.