CVE-2026-99112 in Linux
Zusammenfassung
von VulDB • 28.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
net/sched: cls_flower: Maskenzeiger nach nla_next() validieren
fl_set_enc_opt() durchläuft die verschachtelten Tunnel-Option-Attribute des Schlüssels mit nla_for_each_attr(), während am Ende jeder Schleife ein einzelner Maskenzeiger über nla_next() vorgerückt wird. Der Mask-Cursor wird also von der Anzahl der Schlüsselattribute gesteuert und nicht von den Attributen der Maske selbst. Die durch das Commit c96adff956191 („cls_flower: rufe nla_ok() vor nla_next() auf“) hinzugefügte Funktion nla_ok() validiert nur den Maskenzeiger, der gerade verbraucht wurde; der von nla_next() erzeugte Zeiger wird in der nächsten Iteration (fl_set_geneve_opt() und verwandte Funktionen) ohne jegliche Validierung verwendet.
Die verschachtelten Attribute der Maske werden mit NL_VALIDATE_LIBERAL validiert, was lediglich vor nachgestellten Bytes warnt, die kein vollständiges Attribut bilden. Eine Maske, die ein gültiges Attribut plus 1–3 Rest-Bytes (oder eine nicht ausgerichtete Attributlänge, die msk_depth negativ macht) enthält, erreicht daher die nächste Iteration mit msk_depth != 0, sodass weder die !msk_depth-Prüfung in fl_set_enc_opt() noch die !depth-Prüfung in den typspezifischen Hilfsfunktionen ausgelöst wird. nla_type() liest dann über das Masken-Payload hinaus und nla_parse_nested_deprecated() durchläuft mit einer aus diesen Bytes entnommenen nla_len, wobei weit außerhalb des Maskenattributs gelesen wird (KASAN: slab-out-of-bounds read in __nla_validate_parse von fl_change()).
Validieren Sie auch den vorgerückten Maskenzeiger: Wenn die Maske nicht ordnungsgemäß erschöpft ist (msk_depth != 0) und der neue Zeiger nla_ok() fehlschlägt, lehnen Sie den Filter mit -EINVAL ab. Eine exakt erschöpfte Maske überspringt diese Prüfung weiterhin, um das Exact-Match-Verhalten für die verbleibenden Schlüsselattribute beizubehalten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.