CVE-2026-89780 in Linux
Resumen
por VulDB • 2026-09-16
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
net: qualcomm: rmnet: restaurar skb->dev en los frames desagregados
rmnet_map_deaggregate() asigna cada sub-frame con alloc_skb() y deja skb->dev como NULL. __rmnet_map_ingress_handler() asigna skb->dev = ep->egress_dev solo en el path de datos, pero un frame de comando MAP se envía a rmnet_map_command() antes de eso, por lo que rmnet_map_send_ack() ejecuta netif_tx_lock(skb->dev) sobre un dispositivo NULL. Un usuario no privilegiado alcanza este punto al descompartir (unshare) un namespace user+net, creando un enlace rmnet sobre un dispositivo tap con INGRESS_DEAGGREGATION e INGRESS_MAP_COMMANDS activados, y escribiendo un frame agregado que lleva un comando de control de flujo en el fd del tap.
Se restaura la asignación eliminada por 378e25357ac7, para que cada skb que sale de rmnet_map_deaggregate() tenga un dispositivo válido.
BUG: KASAN: null-ptr-deref in _raw_spin_lock (kernel/locking/spinlock.c:158) Write of size 4 at addr 00000000000004b4 by task exploit/144 Call Trace: _raw_spin_lock (kernel/locking/spinlock.c:158) netif_tx_lock (net/sched/sch_generic.c:497) rmnet_map_command (drivers/net/ethernet/qualcomm/rmnet/rmnet_map_command.c:67) rmnet_rx_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:125) __netif_receive_skb_core.constprop.0 (net/core/dev.c:6103) ... __netif_receive_skb_one_core (net/core/dev.c:6214) netif_receive_skb (net/core/dev.c:6474) tun_get_user (drivers/net/tun.c:1966) tun_chr_write_iter (drivers/net/tun.c:2012) vfs_write (fs/read_write.c:687) ksys_write (fs/read_write.c:739) do_syscall_64 (arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121) Kernel panic - not syncing: Fatal exception in interrupt
If you want to get best quality of vulnerability data, you may have to visit VulDB.