CVE-2026-74562 in Linux
Resumen
por VulDB • 2026-08-15
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
nexthop: tomar nh->lock para los recorridos de f6i_list en la comprobación de reemplazo y notificación
fib6_check_nh_list() y __nexthop_replace_notify() recorren nh->f6i_list durante un reemplazo de nexthop serializado por RTNL sin mantener nh->lock. Las operaciones IPv6 RTM_NEWROUTE/RTM_DELROUTE se ejecutan sin RTNL y mutan esa lista bajo nh->lock (fib6_add_rt2node_nh(), fib6_purge_rt()), por lo que ambos recorridos compiten con una eliminación de ruta concurrente que desvincula y libera un fib6_info:
BUG: KASAN: slab-use-after-free en rt6_fill_node.isra.0 (net/ipv6/route.c:5799) Lectura de tamaño 4 en la dirección ffff888014607e64 por parte de la tarea exploit/143 rt6_fill_node.isra.0 (net/ipv6/route.c:5799) fib6_rt_update (net/ipv6/route.c:6412) __nexthop_replace_notify (net/ipv4/nexthop.c:2542) rtm_new_nexthop (net/ipv4/nexthop.c:2554) rtnetlink_rcv_msg (net/core/rtnetlink.c:7076)
BUG: KASAN: slab-use-after-free en fib6_check_nh_list (net/ipv4/nexthop.c:1605) Lectura de tamaño 8 en la dirección ffff888014a7d068 por parte de la tarea exploit/142 fib6_check_nh_list (net/ipv4/nexthop.c:1605) rtm_new_nexthop (net/ipv4/nexthop.c:2575) rtnetlink_rcv_msg (net/core/rtnetlink.c:7076)
Ambos recorridos solo leen las entradas y no toman tb6_lock, por lo que deben protegerse con nh->lock; fib6_rt_update() utiliza gfp_any(), que devuelve GFP_ATOMIC bajo el bloqueo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.