CVE-2026-68136

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: —
KEV Durumu: Hayır

Yayım tarihi: 10 Ağustos 2026

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: net: gro: çift agregasyonlu flush işaretli skb'lerin düzeltmesi 0ab03f353d36 commit'i ("net-gro: GSO paketini alırken GRO flush'ını düzeltme") skb_gro_receive()'e bir flush kontrolü ekledi, ancak skb_gro_receive_list() aynı doğrulamayı içermemektedir. Sonuç olarak, NAPI_GRO_CB(skb)->flush ile işaretlenmiş paketler hala yeniden agregasyon olabilir. Bu, zaten GRO'da işlenen paketlerin mevcut frag_list ile yeniden agregasyonuna izin verir ve frag_list zincir yapısını bozar. skb_segment() bu bozuk paketleri açmaya çalıştığında, geçersiz bir durumla karşılaşır ve çekirdek panik durumuna geçer. Senaryo (Tethering/Cihaz iletme): 1. Sürücü: LRO aracılığıyla frag_list ile birleştirilmiş paket P1 oluşturur 2. Cihaz A: Birleştirilmiş fraglist paketini alır ve flush bayrağı ayarlanır 3. Cihaz A: GRO'ya yeniden girer, skb_gro_receive_list() çağrılır 4. Eksik flush kontrolü, flush bayrağına rağmen yeniden agregasyonu permite 5. Frag_list zinciri bozulur (döngü veya asılı referanslar) 6. Cihaz B: TX yolu skb_segment()'i çağırır, bozuk frag_list nedeniyle çöker Kök neden skb_segment()'dedir: ~4891 satırındaki kontrol: if (hsize <= 0 && i >= nfrags && skb_headlen(list_skb) && (skb_headlen(list_skb) == len || sg)) { Çift agregasyon tarafından bozulmuş frag_list olduğunda, list_skb bir NULL işaretçi olduğunda skb->next'ten, skb_headlen(list_skb) NULL/bozuk işaretçileri referans alır. Çağrı İzleme: skb_headlen(NULL skb) skb_segment tcp_gso_segment tcp4_gso_segment inet_gso_segment skb_mac_gso_segment __skb_gso_segment skb_gso_segment validate_xmit_skb validate_xmit_skb_list sch_direct_xmit qdisc_restart __qdisc_run qdisc_run net_tx_action Düzeltme: skb_gro_receive_list()'e erken dönüş kontrolüne NAPI_GRO_CB(skb)->flush doğrulaması ekleyin, skb_gro_receive()'in savunma programlama modelini eşleştirin.

Orijinal açıklama (İngilizce)

In the Linux kernel, the following vulnerability has been resolved: net: gro: fix double aggregation of flush-marked skbs Commit 0ab03f353d36 ("net-gro: Fix GRO flush when receiving a GSO packet.") added a flush check to skb_gro_receive(), but skb_gro_receive_list() lacks the same validation. As a result, packets marked with NAPI_GRO_CB(skb)->flush may still be re-aggregated. This allows already-GRO'd packets with existing frag_list to be re-aggregated into a new GRO session, corrupting the frag_list chain structure. When skb_segment() attempts to unpack these malformed packets, it encounters invalid state and triggers a kernel panic. Scenario (Tethering/Device forwarding): 1. Driver: Generated aggregated packet P1 via LRO with frag_list 2. Dev A: Receives aggregated fraglist packet and flush flag set 3. Dev A: Re-enters GRO, skb_gro_receive_list() is called 4. Missing flush check allows re-aggregation despite flush flag 5. Frag_list chain becomes corrupted (loops or dangling refs) 6. Dev B: TX path calls skb_segment(), crashes on corrupted frag_list Root cause in skb_segment(): The check at line ~4891: if (hsize <= 0 && i >= nfrags && skb_headlen(list_skb) && (skb_headlen(list_skb) == len || sg)) { When frag_list is corrupted by double aggregation, when list_skb is a NULL pointer from skb->next, skb_headlen(list_skb) dereference NULL/corrupted pointers occurs. Call Trace: skb_headlen(NULL skb) skb_segment tcp_gso_segment tcp4_gso_segment inet_gso_segment skb_mac_gso_segment __skb_gso_segment skb_gso_segment validate_xmit_skb validate_xmit_skb_list sch_direct_xmit qdisc_restart __qdisc_run qdisc_run net_tx_action Fix: Add NAPI_GRO_CB(skb)->flush validation to the early-return check in skb_gro_receive_list(), matching the defensive programming pattern of skb_gro_receive().

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.