CVE-2026-80905 in Linux
Resumen
por VulDB • 2026-09-04
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
net: tap: corregir el transporte incorrecto del encabezado (transport_header) al enviar un marco con etiqueta VLAN
En `tap_get_user_xdp()`, al procesar un marco con etiqueta VLAN (por ejemplo, ETH_P_8021Q), se llama primero a `skb_set_network_header()` para avanzar el network_header más allá de la etiqueta VLAN hasta el encabezado del protocolo interno. A continuación, se invoca `skb_probe_transport_header()` con `skb->protocol` establecido aún en ETH_P_8021Q, mientras que nhoff (derivado de `skb_network_offset()`) ya apunta más allá de la etiqueta VLAN hacia el encabezado del protocolo interno.
En `__skb_flow_dissect()`, proto se inicializa a ETH_P_8021Q y nhoff apunta más allá de la etiqueta VLAN. Cuando el disector alcanza el caso ETH_P_8021Q, lee una estructura vlan_hdr en la posición actual de nhoff mediante `__skb_header_pointer()`, pero ese desplazamiento contiene el encabezado del protocolo interno (por ejemplo, un encabezado IP). Los bytes se interpretan erróneamente como un encabezado VLAN, lo que produce un EtherType encapsulado no válido que no coincide con ningún protocolo conocido. El disector devuelve false, por lo que `skb_probe_transport_header()` nunca llama a `skb_set_transport_header()`, dejando transport_header en su valor centinela sin inicializar (~0U).
Mueva la llamada a `skb_set_network_header()` después de `skb_probe_transport_header()`. En el momento en que se invoca `skb_probe_transport_header()`, network_header aún apunta al encabezado VLAN (desplazamiento ETH_HLEN), por lo que nhoff es correcto y el disector de flujos puede analizar el encabezado VLAN, extraer el EtherType interno y avanzar nhoff hasta el encabezado del protocolo interno, permitiendo que transport_header se establezca correctamente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.