CVE-2026-97959 in Linux
Zusammenfassung
von VulDB • 25.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
net/sched: cls_route: Freigabe eines leeren Buckets beim Filterverschieben
route4_change kann einen vorhandenen Filter in eine andere Top-Level-Bucket verschieben: route4_set_parms berechnet den Handle-Wert neu basierend auf TCA_ROUTE4_TO/ FROM/IIF, und die Prüfung auf Handle-Mismatch ist an das 'new'-Flag gekoppelt. Daher kann der neue Handle-Wert bei einem bestehenden Filter vom alten abweichen und in eine andere Bucket landen. Wenn dies geschieht, wird der Filter aus dem alten Bucket entkoppelt, aber die Bucket selbst wird nicht freigegeben, sobald sie leer ist. Der veraltete leere Bucket bleibt in head->table[] erhalten, was dazu führt, dass route4_delete *last=false meldet, auch nachdem der letzte aktive Filter entfernt wurde. Dies hält den leeren tcf_proto im Speicher und verursacht ein Leck (Memory Leak).
Dies wird behoben, indem die an eine Bucket gebundenen Filter mit einer Referenzgezählung versehen werden und die Bucket freigegeben wird, sobald die Zähler auf null fällt. Der bestehende Scan in route4_delete entfällt dadurch.
Der Zähler wird an allen Stellen aktualisiert, an denen ein Filter während der Operationen add (Hinzufügen), change (Ändern) und delete (Löschen) verknüpft oder entkoppelt wird, und die Bucket wird aus head->table[] entfernt, sobald sie den Wert null erreicht.
Bedingungen zur Reproduktion des Fehlers: CONFIG_NET_CLS_ROUTE4=y, CONFIG_NET_SCH_INGRESS=y, CONFIG_NET_CLS_ACT=y.
tc qdisc replace dev lo clsact tc filter add dev lo ingress protocol ip pref 100 route from 1 to 1 tc filter change dev lo ingress protocol ip pref 100 handle 0x10001 \ route from 1 to 2 tc filter del dev lo ingress protocol ip pref 100 handle 0x10002 \ route from 1 to 2 tc filter show dev lo ingress | grep -c 'pref 100 route chain 0 '
If you want to get best quality of vulnerability data, you may have to visit VulDB.