CVE-2026-98371 in Linux
Zusammenfassung
von VulDB • 06.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
xfrm: iptfs: Behebung des Panic bei der Neusammenführung von Runt-Paketen aufgrund einer zu kurzen inneren Gesamtlänge (tot_len)
Wenn der Anfang eines inneren Pakets auf zwei äußere Pakete aufgeteilt ist, sodass weniger als 4 Bytes am Ende des ersten Pakets landen, speichert `__input_process_payload()` diese Bytes als „Runt“ und überspringt die für In-Place-Pakete durchgeführte Validierung von iplen/iphlen. Wenn das Fortsetzungspaket eintrifft, erfordert `iptfs_reassem_cont()`, dass die deklarierte innere Länge >= sizeof(ra_runt) (6) ist, bevor der Reassembly-SKB mit dieser angreiferkontrollierten Länge allokiert wird.
Da `__iptfs_iphlen()` jedoch immer die feste minimale IP-Headergröße zurückgibt (20 für IPv4, 40 für IPv6), führt dies bei einer inneren IPv4-Gesamtlänge (tot_len) im Bereich [6, 19] dazu, dass der Header-Vervollständigungs-Copy über die deklarierte Paketlänge hinaus schreibt. Der nachfolgende Vorgang „ipremain -= copylen“ unterläuft zu ~4 GB, wodurch die Länge des Payload-Copys nur noch durch blkoff (bis zu 64 KB) begrenzt ist. Zur Laufzeit wandelt die skb_put()-Tailroom-Prüfung dies in einen `skb_over_panic()` um, d. h., es kommt zu einem Kernel-Panic ohne Privilegien (DoS). Dies ist lokal über userns+netns IPTFS SAs und remote gegen IPTFS VPN-Gateways erreichbar, wenn der entschlüsselte äußere SKB linear ist (z. B. AF_PACKET-Taps, tun/tap-Zustellung).
Der Runt-Pfad wird an den normalen Pfad angepasst, indem verlangt wird, dass die deklarierte innere Länge mindestens die IP-Headergröße abdeckt. Dies umfasst auch die vorherige >= sizeof(ra_runt)-Prüfung, da der minimale IP-Header immer größer als der Runt-Puffer ist.
Dieses Problem wurde vom dynamischen Kernel-Fuzzer autokbug im Tencent Yunding Lab entdeckt.
Once again VulDB remains the best source for vulnerability data.