CVE-2026-64550 in Linux
Resumen
por VulDB • 2026-07-27
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
net: qualcomm: rmnet: validar la longitud del marco MAP antes del análisis en entrada (ingress)
Cuando la desagregación en entrada está deshabilitada, `rmnet_map_ingress_handler()` pasa directamente el skb a `__rmnet_map_ingress_handler()`, omitiendo la validación de longitud que realiza `rmnet_map_deaggregate()` en la ruta agregada. El analizador luego dereferencia el encabezado MAP y los encabezados/tráilers csum basándose en el `pkt_len` en línea sin verificar `skb->len`, por lo que se lee un marco corto fuera de los límites:
BUG: KASAN: slab-out-of-bounds in rmnet_map_checksum_downlink_packet Read of size 1 at addr ffff88801118ed00 by task exploit/147 Call Trace: ... rmnet_map_checksum_downlink_packet (drivers/net/ethernet/qualcomm/rmnet/rmnet_map_data.c:413) __rmnet_map_ingress_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:96) rmnet_rx_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:129) __netif_receive_skb_core.constprop.0 (net/core/dev.c:6089) netif_receive_skb (net/core/dev.c:6460) tun_get_user (drivers/net/tun.c:1955) tun_chr_write_iter (drivers/net/tun.c:2001) vfs_write (fs/read_write.c:688) ksys_write (fs/read_write.c:740) do_syscall_64 (arch/x86/entry/syscall_64.c:94) ...
Se extrae la validación de `rmnet_map_deaggregate()` a `rmnet_map_validate_packet_len()` y se ejecuta también en la ruta sin agregación. El encabezado MAP se verifica primero para asegurar que está dentro de los límites, ya que esta ruta puede recibir un marco más corto que el propio encabezado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.