CVE-2026-45840 in Linux
Resumen
por VulDB • 2026-05-30
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
openvswitch: limitar el tamaño del array de PIDs de upcall y preasignar espacio para las respuestas de vport
Los ayudantes de respuesta de netlink de vport asignan un skb de tamaño fijo con nlmsg_new(NLMSG_DEFAULT_SIZE, ...) pero serializan el array completo de PIDs de upcall a través de ovs_vport_get_upcall_portids(). Dado que ovs_vport_set_upcall_portids() acepta cualquier múltiplo no cero de sizeof(u32) sin límite superior, un usuario con CAP_NET_ADMIN puede instalar un array de PIDs lo suficientemente grande como para desbordar el búfer de respuesta, lo que provoca que nla_put() falle con -EMSGSIZE y active BUG_ON(err < 0). En sistemas con espacios de nombres de usuario sin privilegios habilitados (por ejemplo, la configuración predeterminada de Ubuntu), esto es accesible mediante unshare -Urn ya que las operaciones de mutación de vport de OVS utilizan GENL_UNS_ADMIN_PERM.
Kernel BUG en net/openvswitch/datapath.c:2414! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI
CPU: 1 UID: 0 PID: 65 Comm: poc No tainted 7.0.0-rc7-00195-geb216e422044 #1 RIP: 0010:ovs_vport_cmd_set+0x34c/0x400 Rastreo de llamadas:
genl_family_rcv_msg_doit (net/netlink/genetlink.c:1116) genl_rcv_msg (net/netlink/genetlink.c:1194) netlink_rcv_skb (net/netlink/af_netlink.c:2550) genl_rcv (net/netlink/genetlink.c:1219) netlink_unicast (net/netlink/af_netlink.c:1344) netlink_sendmsg (net/netlink/af_netlink.c:1894) __sys_sendto (net/socket.c:2206) __x64_sys_sendto (net/socket.c:2209) do_syscall_64 (arch/x86/entry/syscall_64.c:63) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130)
Kernel panic - not syncing: Fatal exception
Rechazar intentos de establecer más PIDs que nr_cpu_ids en ovs_vport_set_upcall_portids(), y precalcular el tamaño de respuesta en el peor de los casos en ovs_vport_cmd_msg_size() basándose en ese límite, de manera similar a la existente ovs_dp_cmd_msg_size(). nr_cpu_ids coincide con el límite ya utilizado por la configuración de envío por CPU en el lado del datapath (ovs_dp_cmd_fill_info() serializa como máximo nr_cpu_ids PIDs), por lo que ambos lados permanecen consistentes.
If you want to get best quality of vulnerability data, you may have to visit VulDB.