CVE-2026-98370
NieznaneStreszczenie
W jądrze Linux naprawiono podatność use-after-free w funkcji xfrm_state_netlink() podczas obsługi żądań ALLOCSPI. Funkcja xfrm_alloc_userspi() wywołuje alloc_compat() ponownie, ale przekazuje oryginalne żądanie skb i jego nagłówek, co dla żądań kompatybilnych powoduje interpretację 228-bajtowej struktury compat xfrm_userspi_info jako natywnego układu 232-bajtowego i odczyt czterech bajtów poza zadeklarowaną zawartością. Klon multicast żądania współdzieli skb_shared_info i może obserwować ten child, a xfrm_user_rcv_msg() zwalnia go po zakończeniu obsługi, co prowadzi do wyścigu i use-after-free.
Ocena ryzyka
Ryzyko obejmuje potencjalne wykorzystanie use-after-free do eskalacji uprawnień lub awarii systemu, co może zagrozić integralności i dostępności systemu.
Rekomendacja
Zaleca się aktualizację jądra Linux do wersji zawierającej poprawkę (commit usuwający redundantną konwersję). Należy monitorować dostępność aktualizacji bezpieczeństwa.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-98372Nieznane
W jądrze Linux wykryto podatność w module xfrm IP-TFS, gdzie funkcja iptfs_skb_reset_frag_walk() może odczytać pamięć poza stosem z powodu braku kontroli indeksu fragmentów. Specjalnie spreparowany pakiet AGGFRAG może wywołać odczyt poza zakresem, co prowadzi do awarii systemu lub potencjalnego wycieku informacji.
- CVE-2026-98371Nieznane
W jądrze Linux w module xfrm/iptfs występuje błąd w obsłudze fragmentacji pakietów wewnętrznych. Gdy początek pakietu wewnętrznego zostanie podzielony między dwa pakiety zewnętrzne tak, że mniej niż 4 bajty trafią na koniec pierwszego, walidacja długości nagłówka IP jest pomijana, co prowadzi do przepełnienia bufora i paniki jądra (DoS).
- CVE-2026-98369Nieznane
W jądrze Linux naprawiono błąd w podsystemie xfrm, gdzie funkcja xfrm_trans_reinject() po konwersji z taskletu na workqueue działała w kontekście procesu bez blokady RCU. Powodowało to ostrzeżenia o nieprawidłowym użyciu RCU oraz potencjalne problemy z ważnością wskaźników dst i urządzeń sieciowych dla pakietów przekazywanych przez kolejkę roboczą.
- CVE-2026-98368Nieznane
W jądrze Linux wykryto podatność w implementacji ESP (IPsec), gdzie na ścieżce wyjściowej poza miejscem (out-of-place) modyfikowano tablicę fragmentów skb bez wcześniejszego obniżenia poziomu zarządzania fragmentami zerocopy (SKBFL_MANAGED_FRAG_REFS). Prowadzi to do naruszenia zasad zarządzania fragmentami, co może skutkować użyciem po zwolnieniu (use-after-free) stron zerocopy oraz wyciekiem pamięci.
- CVE-2026-98367Nieznane
W jądrze Linux naprawiono podatność w sterowniku RDMA/siw w funkcji siw_accept(). Jeśli siw_qp_modify() zakończy się niepowodzeniem, stan QP jest zwalniany przed oczyszczeniem ścieżki błędu, co pozwala współbieżnemu wywołaniu ibv_modify_qp() na przejście QP do stanu ERROR i zwolnienie struktury cep, prowadząc do use-after-free. Poprawka polega na wyczyszczeniu qp->cep i zwolnieniu referencji asocjacji pod trzymanym zamkiem zapisu.
- CVE-2026-98366Nieznane
W jądrze Linuxa w podsystemie RDMA/rxe wykryto podatność polegającą na tym, że funkcja rxe_rereg_user_mr() najpierw zmienia wskaźnik PD (protection domain), a dopiero potem waliduje flagi dostępu. Jeśli walidacja się nie powiedzie, obiekt MR pozostaje w niespójnym stanie, co prowadzi do użycia po zwolnieniu (use-after-free) pamięci PD.
- CVE-2026-98365Nieznane
W jądrze Linux w podsystemie RDMA/rxe funkcja mr_check_range() zawiera podatność na przepełnienie liczb całkowitych, co pozwala zdalnemu nieuwierzytelnionemu klientowi na ominięcie walidacji zakresu pamięci i wywołanie odczytu/zapisu poza granicami, prowadząc do awarii jądra. Poprawka przepisuje sprawdzenie w bezpiecznej formie, zwracając błąd -EINVAL dla spreparowanych żądań.
- CVE-2026-98364Nieznane
W jądrze Linux w podsystemie xfrm podczas tworzenia pakietów (bundle) brakuje trzymania referencji do net_device, co prowadzi do użycia po zwolnieniu (use-after-free) przy równoczesnym usuwaniu interfejsu. Poprawka polega na czytaniu dst->dev przez dst_dev_rcu() i utrzymywaniu sekcji krytycznej RCU do czasu przejęcia referencji przez xfrm_fill_dst().
- CVE-2026-98363Nieznane
W jądrze Linux w podsystemie firmware arm_scpi funkcja scpi_dvfs_get_info() nie sprawdza górnego limitu liczby OPP (operating performance points) odczytywanych z firmware SCP, co może prowadzić do odczytu poza tablicą i błędnego rozmiaru alokowanej tabeli OPP. Poprawka odrzuca zarówno zerową, jak i zbyt dużą liczbę OPP, zwracając -EINVAL.
- CVE-2026-98362Nieznane
W jądrze Linux w podsystemie clk scpi funkcja scpi_dvfs_recalc_rate() nie sprawdza górnego limitu indeksu DVFS zwracanego przez dvfs_get_idx(), co może prowadzić do odczytu poza tablicą i traktowania śmieci jako częstotliwości zegara. Poprawka traktuje indeksy większe lub równe liczbie OPP jako nieprawidłowe i zwraca 0.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: xfrm: fix compat ALLOCSPI request use-after-free xfrm_state_netlink() builds the ALLOCSPI response with dump_one_state(), which already calls alloc_compat() with the response skb and header. xfrm_alloc_userspi() then calls alloc_compat() again, but passes the original request skb and its header. For a compat request, the translator therefore interprets the 228-byte compat xfrm_userspi_info as the 232-byte native layout and reads four bytes past the declared payload. It also publishes the translated child through the request's frag_list. A multicast clone of the request shares skb_shared_info and can observe that child. xfrm_user_rcv_msg() frees it after the request handler returns, racing a compat receiver which may still be copying from it and resulting in a use-after-free. Remove the redundant conversion. The response keeps its correct compat translation from dump_one_state(), and no child is attached to the inbound request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS