CVE-2026-98380
NieznaneStreszczenie
W jądrze Linuxa w podsystemie net/sched wykryto podatność polegającą na tym, że funkcja tcf_action_delete() nie sprawdza, czy wynik wyszukiwania w IDR jest wskaźnikiem błędu (ERR_PTR). Atakujący może wykorzystać wyścig, aby podmienić akcję na wskaźnik błędu, co prowadzi do dereferencji pustego wskaźnika i paniki jądra.
Ocena ryzyka
Podatność umożliwia lokalnemu atakującemu doprowadzenie do awarii systemu (paniki jądra), co skutkuje przerwą w działaniu usług (DoS). Wymaga dostępu do interfejsu zarządzania akcjami qdisc.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę, która traktuje wskaźniki błędów jako brak akcji i zwraca -ENOENT. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do interfejsów net/sched dla nieuprzywilejowanych użytkowników.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-98384Nieznane
W jądrze Linux funkcja bpf_sock_destroy() odczytuje sk_protocol z niewłaściwej struktury, co prowadzi do odczytu poza zakresem pamięci. Problem dotyczy gniazd TIME_WAIT i request sock przekazywanych przez iterator TCP. Naprawa ogranicza sprawdzanie sk_protocol tylko do pełnych gniazd.
- CVE-2026-98383Nieznane
W jądrze Linux programy LWT_SEG6LOCAL mogą unieważnić bufor SRH, a następnie wywołać bpf_skb_pull_data(), co może prowadzić do zwisającego wskaźnika i zapisu po zwolnieniu pamięci. Naprawa zabrania używania bpf_skb_pull_data() w programach LWT_SEG6LOCAL.
- CVE-2026-98382Nieznane
W jądrze Linux mechanizm dopasowywania programów BPF do urządzeń sieciowych ma lukę, która pozwala uruchomić program związany z jednym urządzeniem na innym, co prowadzi do naruszenia pamięci. Naprawa ogranicza dopasowanie do dokładnych urządzeń dla programów nieprzeznaczonych do offloadu.
- CVE-2026-98381Nieznane
W jądrze Linux, podczas zmiany liczby kanałów w interfejsie veth, wskaźniki programów XDP nie są czyszczone dla usuniętych kolejek RX. Może to prowadzić do uruchomienia zwolnionego programu po ponownym zwiększeniu liczby kanałów, powodując awarię systemu.
- CVE-2026-98379Nieznane
W jądrze Linuxa wykryto podatność w module netfilter ip6t_rpfilter, gdzie funkcja ip6_route_lookup() może zwrócić trasę bez urządzenia inet6_dev (wskaźnik NULL). Nieuprawniony użytkownik może wykorzystać ten stan, obniżając MTU zewnętrznego interfejsu poniżej IPV6_MIN_MTU, co prowadzi do dereferencji wskaźnika NULL i paniki jądra.
- CVE-2026-98378Nieznane
W jądrze Linux podatność w mechanizmie BPF link iterator. Funkcja bpf_link_prime() wstawia link do link_idr przed publikacją ID, a iterator linków pobiera referencję bez sprawdzenia, czy link jest już osadzony (ID równe zero). Jeśli anon_inode_getfile() zawiedzie, iterator pozostaje z wiszącą referencją, a kolejne bpf_link_put() powoduje użycie zwolnionej pamięci (use-after-free).
- CVE-2026-98377Nieznane
W jądrze Linux podatność w funkcji __vlan_insert_inner_tag(), która nie wymaga obecności nagłówka MAC przed jego nadpisaniem. Przy wysyłce bardzo krótkiej ramki przez urządzenie IFF_TUN kolejne operacje push VLAN mogą wciągnąć do ramki niezainicjalizowane bajty z pamięci slab, powodując wyciek danych jądra.
- CVE-2026-98376Nieznane
W jądrze Linux podatność w obsłudze map BPF typu percpu array używanych jako mapy wewnętrzne. Funkcja porównująca metadane map nie sprawdza liczby max_entries, więc podmiana mapy wewnętrznej na mniejszą omija walidację, a wbudowany w JIT index_mask może prowadzić do dostępu poza zakres tablicy pptrs[].
- CVE-2026-98375Nieznane
W jądrze Linux sterownik xen/netfront nie sprawdza długości pierwszego slotu RX względem ETH_HLEN przed wywołaniem eth_type_trans(). Jeśli pierwszy slot jest krótszy niż nagłówek Ethernet, może dojść do błędu BUG() w __skb_pull() lub odczytu poza końcem danych.
- CVE-2026-98374Nieznane
W jądrze Linux występuje podatność use-after-free w tcp_send_synack() dotycząca retransmit_skb_hint. Gdy tcp_send_synack() zastępuje sklonowany SYN skb na początku kolejki retransmisji kopią, zwalnia oryginał, ale tp->retransmit_skb_hint nadal wskazuje na zwolniony obiekt, co może być wykorzystane przez nieuprzywilejowanego klienta TFO do wywołania use-after-free.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: net/sched: reject IDR error pointers when deleting actions tcf_action_delete() drops the reference held by its lookup before calling tcf_idr_delete_index() with the saved action index. An unlocked classifier can remove that action and reserve the same IDR slot with ERR_PTR(-EBUSY) in between. tcf_idr_delete_index() only checks the lookup result for NULL. It therefore treats the reservation as a tc_action and dereferences tcfa_bindcnt. A hardware execution breakpoint was used to schedule the interleaving without changing the kernel source. KASAN reported this decoded trace: BUG: KASAN: null-ptr-deref in tca_action_gd+0x5b9/0x1010 Read of size 4 at addr 0000000000000010 by task poc/150 Oops: general protection fault, probably for non-canonical address 0xdffffc0000000002 RIP: tca_action_gd+0x5c0/0x1010: arch_atomic_read at arch/x86/include/asm/atomic.h:23 raw_atomic_read at include/linux/atomic/atomic-arch-fallback.h:457 atomic_read at include/linux/atomic/atomic-instrumented.h:33 tcf_idr_delete_index at net/sched/act_api.c:766 tcf_action_delete at net/sched/act_api.c:1859 tcf_del_notify at net/sched/act_api.c:2014 tca_action_gd at net/sched/act_api.c:2064 R13: 0000000000000010 R15: fffffffffffffff0 Kernel panic - not syncing: Fatal exception R15 contains ERR_PTR(-EBUSY), and adding the tcfa_bindcnt offset produces the address in R13. With the guard applied, the same reproducer returned -ENOENT without a KASAN report or panic. Treat error pointers as absent and return -ENOENT.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS