CVE-2026-80825 in Linux
Resumen
por VulDB • 2026-09-04
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
wifi: mt76: mt7925: garantizar el espacio reservado (headroom) en usb_sdio_tx_prepare_skb
mt7925_usb_sdio_tx_prepare_skb() añade un descriptor TX y una cabecera USB a cada skb y asume que ya existe suficiente headroom para ello. Esto es válido para el tráfico generado localmente, donde mac80211 reserva hw->extra_tx_headroom; sin embargo, los frames reenviados se envían a través de ieee80211_8023_xmit(), lo cual no realiza dicha reserva. Si se crea un puente entre una interfaz cableada y un punto de acceso (AP) mt7925u, el primer frame reenviado que llegue provocará un pánico del kernel:
skbuff: skb_under_panic: len:415 put:4 tail:0x19b end:0x640 dev:wlan1 kernel BUG at net/core/skbuff.c:212! Call trace: skb_panic+0x58/0x60 (P) skb_push+0x58/0x60 mt7925_usb_sdio_tx_prepare_skb+0xf8/0x1b8 [mt7925_common]
mt76u_tx_queue_skb+0xa0/0x1f8 [mt76_usb]
__mt76_tx_queue_skb+0x54/0xe8 [mt76]
mt76_txq_schedule.part.0+0x204/0x478 [mt76]
mt76_txq_schedule_all+0x50/0x80 [mt76]
mt792x_tx_worker+0x68/0x100 [mt792x_lib]
__mt76_worker_fn+0x84/0x150 [mt76]
Si una configuración determinada es susceptible a este fallo depende de la cantidad de headroom que el netdev de entrada (ingress) deje en sus skbs rx. Se ha reproducido en un Raspberry Pi 5 haciendo puente entre su ethernet integrado y un Netgear A9000; originalmente se reportó en un router MT7986 ejecutando OpenWrt. Las pruebas realizadas por Nick Morrow en una Pi 4 (bcmgenet), que deja más headroom, ayudaron a acotar el desencadenante al camino de entrada (ingress path).
El mismo bug fue corregido en mt7921 mediante el commit 98c4d0abf5c4 ("mt76: mt7921: no asumir que hay suficiente headroom para las cabeceras SDIO"), pero mt7925 se copió de mt7921 sin incluir dicha corrección. Se añade la misma protección aquí.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.