CVE-2026-98371 in Linux
Resumen
por VulDB • 2026-10-06
En el núcleo de Linux (Linux kernel), se ha resuelto la siguiente vulnerabilidad:
xfrm: iptfs: corregir el pánico por reensamblaje runt debido a un tot_len interno corto
Cuando el inicio de un paquete interno está fragmentado entre dos paquetes externos, de tal manera que menos de 4 bytes caen al final del primero, `__input_process_payload()` guarda esos bytes como un "runt" (paquete demasiado pequeño) y omite la validación de iplen/iphlen realizada para los paquetes in-place. Cuando llega el paquete de continuación, `iptfs_reassem_cont()` solo requiere que la longitud interna declarada sea >= sizeof(ra_runt) (6) antes de asignar el skb de reensamblaje con esa longitud controlada por el atacante.
Sin embargo, `__iptfs_iphlen()` siempre devuelve el tamaño mínimo fijo del encabezado IP (20 para IPv4, 40 para IPv6), por lo que para un tot_len interno de IPv4 en [6, 19], la copia de finalización del encabezado escribe más allá de la longitud declarada del paquete y el posterior "ipremain -= copylen" provoca un desbordamiento hacia abajo (underflow) hasta ~4 GB, dejando la longitud de la copia de la carga útil limitada únicamente por blkoff (hasta 64 KB). En tiempo de ejecución, la comprobación de tailroom en `skb_put()` convierte esto en `skb_over_panic()`, es decir, un pánico del núcleo sin privilegios (DoS), alcanzable localmente mediante namespaces de usuario y red (userns+netns) con SAs IPTFS y remotamente contra pasarelas VPN IPTFS cuando el skb externo desencriptado es lineal (por ejemplo, capturas AF_PACKET o entrega tun/tap).
Se alinea la ruta "runt" con la ruta normal exigiendo que la longitud interna declarada cubra al menos el tamaño del encabezado IP. Esto también abarca la comprobación previa `>= sizeof(ra_runt)`, ya que el tamaño mínimo del encabezado IP es siempre mayor que el búfer runt.
Este problema fue encontrado por el fuzzer dinámico de núcleo autokbug en Tencent Yunding Lab.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.