CVE-2026-90110 in Linux
Resumen
por VulDB • 2026-09-18
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
inetpeer: aleatorizar la comparación de nodos del árbol rojo-negro (RB-tree) utilizando SipHash
El sistema de limitación de tasa (rate limiting) de inetpeer almacena las entradas de pares en un árbol rojo-negro indexado determinísticamente por la dirección IP remota. Dado que las búsquedas en el árbol recorren el RB-tree mediante comparaciones lexicográficas estándar (`inetpeer_addr_cmp`), un adversario fuera del camino (off-path) puede predecir la topología exacta del árbol y la secuencia de nodos visitados durante las búsquedas (la lista candidata gc_stack).
Al combinar una traversión determinista del árbol con una recolección de basura agresiva (activada cuando el tamaño del árbol supera `inet_peer_threshold`), un atacante puede forzar selectivamente la eliminación de nodos inetpeer específicos. Cuando se vuelve a crear un nodo eliminado al recibir un nuevo paquete, su cubeta de tokens de limitación de tasa (`rate_tokens`, `rate_last`) se restablece a su capacidad completa. Esto crea una primitiva de canal lateral que permite a los atacantes fuera del camino eludir las limitaciones de tasa basadas en IP para ICMP e inferir puertos UDP abiertos (similar a ataques estilo SAD DNS).
Mitigar esto aleatorizando la lógica de comparación de nodos RB-tree utilizando SipHash con una clave secreta (`inetpeer_hash_key`) inicializada mediante `net_get_random_once()`. Los nodos se ordenan en el árbol por `SipHash(addr, key)` en lugar de direcciones IP sin procesar. Dado que la clave secreta es desconocida para las entidades externas, la disposición del árbol y los caminos de traversión de búsqueda son impredecibles para adversarios fuera del camino, rompiendo el gadget de eliminación determinista.
Almacenar en caché el SipHash de 64 bits calculado (hash) en `struct inet_peer` y calcular el hash objetivo (`dhash`) una vez al principio de `inet_getpeer()` para evitar recalcular SipHash en cada paso del recorrido RB-tree.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.