CVE-2026-98925 in Linux
Zusammenfassung
von VulDB • 23.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
bpf, sockmap: Behebung der doppelten Zählung von copied_seq bei Self-Redirect
Wenn ein BPF stream_verdict-Programm ein skb zurück an denselben Socket umleitet (Self-Redirect mit BPF_F_INGRESS), ruft sk_psock_verdict_apply() tcp_eat_skb() auf, wodurch tcp_sk->copied_seq erhöht wird. Das skb wird jedoch anschließend in die psock-Eingangsqueue des Sockets gestellt und später von tcp_bpf_recvmsg_parser() gelesen, das copied_seq ebenfalls über den accounting-Pfad copied_from_self erhöht. Diese doppelte Zählung führt dazu, dass sich copied_seq um das 2-fache der tatsächlichen Datenlänge vorwärts bewegt, was Folgendes auslöst:
TCP recvmsg seq # bug 2: copied BF2E806, seq BF2E7FD, \ rcvnxt BF2E806, fl 0 WARNING: net/ipv4/tcp.c:2745 at tcp_recvmsg_locked+0x72b/0x2640 Call Trace: tcp_recvmsg+0x10a/0x500 sock_recvmsg+0x168/0x1d0 __sys_recvfrom+0x19a/0x2a0 __x64_sys_recvfrom+0xe4/0x1f0 do_syscall_64+0xf7/0x530 entry_SYSCALL_64_after_hwframe+0x77/0x7f
cleanup rbuf bug: copied BF2E806 seq BF2E806 rcvnxt BF2E806 WARNING: net/ipv4/tcp.c:1609 at tcp_cleanup_rbuf+0xf2/0x1c0 Call Trace: tcp_recvmsg_locked+0x8d1/0x2640 tcp_recvmsg+0x10a/0x500 sock_recvmsg+0x168/0x1d0 __sys_recvfrom+0x19a/0x2a0 __x64_sys_recvfrom+0xe4/0x1f0 do_syscall_64+0xf7/0x530 entry_SYSCALL_64_after_hwframe+0x77/0x7f
Behoben wird dies, indem das Self-Redirect-Verdict zu Beginn von sk_psock_verdict_apply() in __SK_PASS konvertiert wird. Dies umgeht den __SK_REDIRECT-Fall vollständig (der sk_psock_eat_skb aufruft), sodass der __SK_PASS-Pfad das skb zur psock-Eingangsqueue stellt. Die Daten werden dann über tcp_bpf_recvmsg_parser() gelesen, wodurch copied_seq genau einmal über copied_from_self erhöht wird. Cross-Socket-Redirects laufen weiterhin durch __SK_REDIRECT mit unverändertem sk_psock_eat_skb().
If you want to get best quality of vulnerability data, you may have to visit VulDB.