CVE-2026-98372 in Linux
Zusammenfassung
von VulDB • 06.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
xfrm: iptfs: Behebung eines stack-basierten OOB-Lesezugriffs (Out-of-Bounds) in iptfs_skb_reset_frag_walk()
iptfs_skb_reset_frag_walk() schreitet zum Fragment fort, das @offset enthält, mit einer unbeschränkten Schleife:
while (offset >= walk->past + walk->frags[walk->fragi].len)
walk->past += walk->frags[walk->fragi++].len;
walk->fragi wird erhöht und auf walk->frags[walk->fragi] zugegriffen, ohne fragi jemals gegen walk->nr_frags zu prüfen. Wenn der angeforderte Offset an oder jenseits der gesamten Länge liegt, die von den Fragmenten des Walks abgedeckt wird, läuft fragi über nr_frags hinaus und außerhalb des festgelegten stackbasierten Arrays frags[MAX_SKB_FRAGS + 1], wodurch Speicher aus dem Stack außerhalb der Grenzen gelesen wird.
Die beiden Aufrufer verhalten sich unterschiedlich: iptfs_skb_add_frags() schützt dies bereits mit
if (!walk->nr_frags || offset >= walk->total + walk->initial_offset) return len;
iptfs_skb_can_add_frags() verfügt jedoch über keinen solchen Schutz und ruft iptfs_skb_reset_frag_walk() bedingungslos auf, sodass es den Bereichsverletzenden Walk durchführt. Seine eigene Begrenzungsprüfung „fragi < walk->nr_frags“ wird ebenfalls erst danach ausgeführt, was zu spät ist, um das Lesen zu verhindern.
Dieser Zustand ist über den Empfangspfad erreichbar: Ein speziell angefertigter IP-TFS (AGGFRAG)-Payload, der an eine IPTFS-SA übermittelt wird, treibt iptfs_reassem_cont() -> iptfs_skb_can_add_frags() mit einem Offset jenseits der Fragmentgesamtlänge an, z. B.:
BUG: KASAN: stack-out-of-bounds in iptfs_skb_reset_frag_walk+0x235/0x250 Read of size 4 at addr ffff888008ad7210 by task repro/345 iptfs_skb_reset_frag_walk+0x235/0x250 net/xfrm/xfrm_iptfs.c:392 iptfs_skb_can_add_frags+0x155/0x310 net/xfrm/xfrm_iptfs.c:420 iptfs_reassem_cont+0xcf8/0x1140 net/xfrm/xfrm_iptfs.c:902 iptfs_input_ordered+0x552/0x670 net/xfrm/xfrm_iptfs.c:1280 iptfs_input+0x3d6/0xde0 net/xfrm/xfrm_iptfs.c:1741 xfrm_input+0x282f/0x6140 net/xfrm/xfrm_input.c:700 xfrm4_esp_rcv+0x93/0x120 net/ipv4/xfrm4_protocol.c:104 ip_rcv+0x278/0x2d0 net/ipv4/ip_input.c:612
Geben Sie iptfs_skb_can_add_frags() denselben vorgezogenen Schutz, den iptfs_skb_add_frags() bereits hat, damit der Walk niemals mit einem außerhalb des Bereichs liegenden Offset betreten wird. Wenn er ausgelöst wird, fällt der Aufrufer auf den vorhandenen Pfad zum Linearisieren und Kopieren zurück, der sicher ist.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.