CVE-2026-98503 in Linux
Resumen
por VulDB • 2026-10-19
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
packet: usar la finalización ubuf_info para los paquetes del anillo TX (TX_RING)
tpacket_snd envía skbs con fragmentos que apuntan a las ranuras de su anillo. Las ranuras se liberan cuando se llama al destructor de skb (skb->destructor).
Una llamada a skb_orphan invoca el destructor de skb antes de que este sea liberado. Esto puede provocar que la ranura se reutilice mientras sigue vinculada al skb.
Se cambia a una finalización estándar de zerocopy (ubuf_info) para que la ranura solo se libere cuando todas las referencias a la carga útil hayan sido liberadas o copiadas. Se restaura el destructor de skb (skb->destructor) a sock_wfree estándar.
La devolución de llamada de finalización ubuf_info puede recibir un skb NULL, pero únicamente desde net_zcopy_put y API relacionadas, utilizadas por implementaciones de zerocopy que mantienen su propia referencia en uarg, como MSG_ZEROCOPY. Esta uarg solo se completa desde skb_zcopy_clear, por lo que el skb siempre está establecido.
Para evitar que los usuarios aliasen estados en tránsito en ranuras compartidas del anillo, se asigna tpacket_uarg por paquete, en lugar de por ranura. Esto añade una pequeña asignación a la ruta de transmisión (transmit path). Se utiliza kmalloc estándar para permitir el backporting a kernels estables.
uarg mantiene una referencia sk_wmem_alloc, en lugar de una referencia sk_refcnt. packet_free_tx_ring espera a sk_wmem_alloc antes de liberar las páginas del anillo. Siempre se asigna vec->deferred para tx_ring para que los anillos respaldados por página también esperen a sk_wmem_alloc cuando skb_copy_ubufs reduzca las referencias a la página antes de llamar a tpacket_ubuf_complete.
Se elimina la prueba pg_vec.tx_ring que tpacket_destruct_skb realizaba antes de acceder a la ranura. La referencia sk_wmem alloc garantiza ahora que la ranura es válida. Además, esta prueba no era suficiente por sí misma, ya que lee pg_vec sin pg_vec_lock, lo que puede generar una condición de carrera (race condition) con packet_set_ring.
Como resultado, se libera una ranura cuando su carga útil ha sido copiada, lo cual puede ocurrir antes de la transmisión (por ejemplo, en skb_orphan_frags_rx). Si se copia antes de llamar a skb_tx_timestamp(), no se registra ninguna marca temporal de ranura, similar a cuando se llamaba a skb_orphan() temprano en el datapath antes de este parche.
Se revierte la infraestructura anterior ya sin uso skb_zcopy_.._nouarg.
Depende del commit 992cc9f94ca9 ("net/packet: deferir la liberación vmalloc TX_RING hasta que los skbs terminen").
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.