CVE-2026-98372
NieznaneStreszczenie
W jądrze Linux wykryto podatność w module xfrm IP-TFS, gdzie funkcja iptfs_skb_reset_frag_walk() może odczytać pamięć poza stosem z powodu braku kontroli indeksu fragmentów. Specjalnie spreparowany pakiet AGGFRAG może wywołać odczyt poza zakresem, co prowadzi do awarii systemu lub potencjalnego wycieku informacji.
Ocena ryzyka
Atakujący może zdalnie doprowadzić do awarii systemu (paniki jądra) lub uzyskać dostęp do wrażliwych danych z pamięci stosu, co stanowi zagrożenie dla integralności i poufności systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki z oficjalnych źródeł jądra Linux, która dodaje zabezpieczenie przed nieprawidłowym offsetem w funkcji iptfs_skb_can_add_frags(). Należy również monitorować dostępność aktualizacji dla używanej dystrybucji.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-98371Nieznane
W jądrze Linux w module xfrm/iptfs występuje błąd w obsłudze fragmentacji pakietów wewnętrznych. Gdy początek pakietu wewnętrznego zostanie podzielony między dwa pakiety zewnętrzne tak, że mniej niż 4 bajty trafią na koniec pierwszego, walidacja długości nagłówka IP jest pomijana, co prowadzi do przepełnienia bufora i paniki jądra (DoS).
- CVE-2026-98370Nieznane
W jądrze Linux naprawiono podatność use-after-free w funkcji xfrm_state_netlink() podczas obsługi żądań ALLOCSPI. Funkcja xfrm_alloc_userspi() wywołuje alloc_compat() ponownie, ale przekazuje oryginalne żądanie skb i jego nagłówek, co dla żądań kompatybilnych powoduje interpretację 228-bajtowej struktury compat xfrm_userspi_info jako natywnego układu 232-bajtowego i odczyt czterech bajtów poza zadeklarowaną zawartością. Klon multicast żądania współdzieli skb_shared_info i może obserwować ten child, a xfrm_user_rcv_msg() zwalnia go po zakończeniu obsługi, co prowadzi do wyścigu i use-after-free.
- CVE-2026-98369Nieznane
W jądrze Linux naprawiono błąd w podsystemie xfrm, gdzie funkcja xfrm_trans_reinject() po konwersji z taskletu na workqueue działała w kontekście procesu bez blokady RCU. Powodowało to ostrzeżenia o nieprawidłowym użyciu RCU oraz potencjalne problemy z ważnością wskaźników dst i urządzeń sieciowych dla pakietów przekazywanych przez kolejkę roboczą.
- CVE-2026-98368Nieznane
W jądrze Linux wykryto podatność w implementacji ESP (IPsec), gdzie na ścieżce wyjściowej poza miejscem (out-of-place) modyfikowano tablicę fragmentów skb bez wcześniejszego obniżenia poziomu zarządzania fragmentami zerocopy (SKBFL_MANAGED_FRAG_REFS). Prowadzi to do naruszenia zasad zarządzania fragmentami, co może skutkować użyciem po zwolnieniu (use-after-free) stron zerocopy oraz wyciekiem pamięci.
- CVE-2026-98367Nieznane
W jądrze Linux naprawiono podatność w sterowniku RDMA/siw w funkcji siw_accept(). Jeśli siw_qp_modify() zakończy się niepowodzeniem, stan QP jest zwalniany przed oczyszczeniem ścieżki błędu, co pozwala współbieżnemu wywołaniu ibv_modify_qp() na przejście QP do stanu ERROR i zwolnienie struktury cep, prowadząc do use-after-free. Poprawka polega na wyczyszczeniu qp->cep i zwolnieniu referencji asocjacji pod trzymanym zamkiem zapisu.
- CVE-2026-98366Nieznane
W jądrze Linuxa w podsystemie RDMA/rxe wykryto podatność polegającą na tym, że funkcja rxe_rereg_user_mr() najpierw zmienia wskaźnik PD (protection domain), a dopiero potem waliduje flagi dostępu. Jeśli walidacja się nie powiedzie, obiekt MR pozostaje w niespójnym stanie, co prowadzi do użycia po zwolnieniu (use-after-free) pamięci PD.
- CVE-2026-98365Nieznane
W jądrze Linux w podsystemie RDMA/rxe funkcja mr_check_range() zawiera podatność na przepełnienie liczb całkowitych, co pozwala zdalnemu nieuwierzytelnionemu klientowi na ominięcie walidacji zakresu pamięci i wywołanie odczytu/zapisu poza granicami, prowadząc do awarii jądra. Poprawka przepisuje sprawdzenie w bezpiecznej formie, zwracając błąd -EINVAL dla spreparowanych żądań.
- CVE-2026-98364Nieznane
W jądrze Linux w podsystemie xfrm podczas tworzenia pakietów (bundle) brakuje trzymania referencji do net_device, co prowadzi do użycia po zwolnieniu (use-after-free) przy równoczesnym usuwaniu interfejsu. Poprawka polega na czytaniu dst->dev przez dst_dev_rcu() i utrzymywaniu sekcji krytycznej RCU do czasu przejęcia referencji przez xfrm_fill_dst().
- CVE-2026-98363Nieznane
W jądrze Linux w podsystemie firmware arm_scpi funkcja scpi_dvfs_get_info() nie sprawdza górnego limitu liczby OPP (operating performance points) odczytywanych z firmware SCP, co może prowadzić do odczytu poza tablicą i błędnego rozmiaru alokowanej tabeli OPP. Poprawka odrzuca zarówno zerową, jak i zbyt dużą liczbę OPP, zwracając -EINVAL.
- CVE-2026-98362Nieznane
W jądrze Linux w podsystemie clk scpi funkcja scpi_dvfs_recalc_rate() nie sprawdza górnego limitu indeksu DVFS zwracanego przez dvfs_get_idx(), co może prowadzić do odczytu poza tablicą i traktowania śmieci jako częstotliwości zegara. Poprawka traktuje indeksy większe lub równe liczbie OPP jako nieprawidłowe i zwraca 0.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: xfrm: iptfs: fix stack OOB read in iptfs_skb_reset_frag_walk() iptfs_skb_reset_frag_walk() advances to the fragment containing @offset with an unbounded loop: while (offset >= walk->past + walk->frags[walk->fragi].len) walk->past += walk->frags[walk->fragi++].len; walk->fragi is advanced and walk->frags[walk->fragi] is dereferenced without ever checking fragi against walk->nr_frags. When the requested offset is at or beyond the total length spanned by the walk's fragments, fragi runs past nr_frags and off the end of the fixed-size on-stack frags[MAX_SKB_FRAGS + 1] array, reading out-of-bounds stack memory. The two callers behave differently: iptfs_skb_add_frags() already guards against this with if (!walk->nr_frags || offset >= walk->total + walk->initial_offset) return len; but iptfs_skb_can_add_frags() has no such guard and calls iptfs_skb_reset_frag_walk() unconditionally, so it performs the out-of-range walk. Its own "fragi < walk->nr_frags" bound check runs only afterwards, too late to prevent the read. This is reachable from the receive path: a crafted IP-TFS (AGGFRAG) payload delivered to an IPTFS SA drives iptfs_reassem_cont() -> iptfs_skb_can_add_frags() with an offset past the fragment total, e.g.: BUG: KASAN: stack-out-of-bounds in iptfs_skb_reset_frag_walk+0x235/0x250 Read of size 4 at addr ffff888008ad7210 by task repro/345 iptfs_skb_reset_frag_walk+0x235/0x250 net/xfrm/xfrm_iptfs.c:392 iptfs_skb_can_add_frags+0x155/0x310 net/xfrm/xfrm_iptfs.c:420 iptfs_reassem_cont+0xcf8/0x1140 net/xfrm/xfrm_iptfs.c:902 iptfs_input_ordered+0x552/0x670 net/xfrm/xfrm_iptfs.c:1280 iptfs_input+0x3d6/0xde0 net/xfrm/xfrm_iptfs.c:1741 xfrm_input+0x282f/0x6140 net/xfrm/xfrm_input.c:700 xfrm4_esp_rcv+0x93/0x120 net/ipv4/xfrm4_protocol.c:104 ip_rcv+0x278/0x2d0 net/ipv4/ip_input.c:612 Give iptfs_skb_can_add_frags() the same up-front guard that iptfs_skb_add_frags() already has, so the walk is never entered with an out-of-range offset. When it triggers, the caller falls back to the existing linearize-and-copy path, which is safe.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS