CVE-2026-98377
NieznaneStreszczenie
W jądrze Linux podatność w funkcji __vlan_insert_inner_tag(), która nie wymaga obecności nagłówka MAC przed jego nadpisaniem. Przy wysyłce bardzo krótkiej ramki przez urządzenie IFF_TUN kolejne operacje push VLAN mogą wciągnąć do ramki niezainicjalizowane bajty z pamięci slab, powodując wyciek danych jądra.
Ocena ryzyka
Może dojść do wycieku niezainicjalizowanej pamięci jądra do sieci, co potencjalnie ujawnia dane wrażliwe lub ułatwia obejście mechanizmów bezpieczeństwa (ASLR).
Rekomendacja
Zaktualizuj jądro Linux do wersji z poprawką wymagającą obecności nagłówka MAC w __vlan_insert_inner_tag(). Ogranicz możliwość tworzenia urządzeń IFF_TUN oraz wysyłania surowych ramek AF_PACKET do zaufanych użytkowników.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-98384Nieznane
W jądrze Linux funkcja bpf_sock_destroy() odczytuje sk_protocol z niewłaściwej struktury, co prowadzi do odczytu poza zakresem pamięci. Problem dotyczy gniazd TIME_WAIT i request sock przekazywanych przez iterator TCP. Naprawa ogranicza sprawdzanie sk_protocol tylko do pełnych gniazd.
- CVE-2026-98383Nieznane
W jądrze Linux programy LWT_SEG6LOCAL mogą unieważnić bufor SRH, a następnie wywołać bpf_skb_pull_data(), co może prowadzić do zwisającego wskaźnika i zapisu po zwolnieniu pamięci. Naprawa zabrania używania bpf_skb_pull_data() w programach LWT_SEG6LOCAL.
- CVE-2026-98382Nieznane
W jądrze Linux mechanizm dopasowywania programów BPF do urządzeń sieciowych ma lukę, która pozwala uruchomić program związany z jednym urządzeniem na innym, co prowadzi do naruszenia pamięci. Naprawa ogranicza dopasowanie do dokładnych urządzeń dla programów nieprzeznaczonych do offloadu.
- CVE-2026-98381Nieznane
W jądrze Linux, podczas zmiany liczby kanałów w interfejsie veth, wskaźniki programów XDP nie są czyszczone dla usuniętych kolejek RX. Może to prowadzić do uruchomienia zwolnionego programu po ponownym zwiększeniu liczby kanałów, powodując awarię systemu.
- CVE-2026-98380Nieznane
W jądrze Linuxa w podsystemie net/sched wykryto podatność polegającą na tym, że funkcja tcf_action_delete() nie sprawdza, czy wynik wyszukiwania w IDR jest wskaźnikiem błędu (ERR_PTR). Atakujący może wykorzystać wyścig, aby podmienić akcję na wskaźnik błędu, co prowadzi do dereferencji pustego wskaźnika i paniki jądra.
- CVE-2026-98379Nieznane
W jądrze Linuxa wykryto podatność w module netfilter ip6t_rpfilter, gdzie funkcja ip6_route_lookup() może zwrócić trasę bez urządzenia inet6_dev (wskaźnik NULL). Nieuprawniony użytkownik może wykorzystać ten stan, obniżając MTU zewnętrznego interfejsu poniżej IPV6_MIN_MTU, co prowadzi do dereferencji wskaźnika NULL i paniki jądra.
- CVE-2026-98378Nieznane
W jądrze Linux podatność w mechanizmie BPF link iterator. Funkcja bpf_link_prime() wstawia link do link_idr przed publikacją ID, a iterator linków pobiera referencję bez sprawdzenia, czy link jest już osadzony (ID równe zero). Jeśli anon_inode_getfile() zawiedzie, iterator pozostaje z wiszącą referencją, a kolejne bpf_link_put() powoduje użycie zwolnionej pamięci (use-after-free).
- CVE-2026-98376Nieznane
W jądrze Linux podatność w obsłudze map BPF typu percpu array używanych jako mapy wewnętrzne. Funkcja porównująca metadane map nie sprawdza liczby max_entries, więc podmiana mapy wewnętrznej na mniejszą omija walidację, a wbudowany w JIT index_mask może prowadzić do dostępu poza zakres tablicy pptrs[].
- CVE-2026-98375Nieznane
W jądrze Linux sterownik xen/netfront nie sprawdza długości pierwszego slotu RX względem ETH_HLEN przed wywołaniem eth_type_trans(). Jeśli pierwszy slot jest krótszy niż nagłówek Ethernet, może dojść do błędu BUG() w __skb_pull() lub odczytu poza końcem danych.
- CVE-2026-98374Nieznane
W jądrze Linux występuje podatność use-after-free w tcp_send_synack() dotycząca retransmit_skb_hint. Gdy tcp_send_synack() zastępuje sklonowany SYN skb na początku kolejki retransmisji kopią, zwalnia oryginał, ale tp->retransmit_skb_hint nadal wskazuje na zwolniony obiekt, co może być wykorzystane przez nieuprzywilejowanego klienta TFO do wywołania use-after-free.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: vlan: require the MAC header to be present in __vlan_insert_inner_tag() __vlan_insert_inner_tag() only guarantees head room via skb_cow_head(), never that mac_len bytes of MAC header are present. Its ETH_HLEN wrappers - __vlan_insert_tag() under skb_vlan_push(), and vlan_insert_tag() under validate_xmit_vlan() on the generic transmit path - therefore rewrite the first 16 bytes at skb->data: a 12-byte memmove plus two 2-byte stores at +12 and +14. No caller supplies the bound, while the pop helpers use skb_ensure_writable()/pskb_may_pull(). An IFF_TUN device has hard_header_len == 0, so packet_snd() accepts a one-byte AF_PACKET/SOCK_RAW frame. The first vlan push only sets a hwaccel tag; the next - clsact "action vlan push" or bpf_skb_vlan_push() - enters the helper with skb->len still 1. The head comes from skbuff_small_head without __GFP_ZERO, so each push drags bytes from beyond skb->tail into the frame. After three the one-byte send leaves as 13 bytes carrying 11 bytes of uninitialised slab: 0000: 5a b3 62 12 80 88 ff ff 00 b3 62 12 81 `------------------------------' only 0x5a was sent; the rest is slab, here the top 56 bits of a linear-map address Require the MAC header the helper rewrites to be present, so such a frame is dropped rather than transmitted.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS