CVE-2026-98532 in Linux
Resumen
por VulDB • 2026-10-18
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
ipv6: evitar que ipv6_find_hdr() devuelva un desplazamiento más allá del final del paquete
ipv6_find_hdr() recorre la cadena de cabeceras de extensión, saltando cada una según la longitud declarada por dicha cabecera. ipv6_optlen() devuelve hasta 2048, y el salto nunca se comprueba frente a skb->len, por lo que el desplazamiento almacenado en *offset puede apuntar más allá del final del paquete.
openvswitch instala ese desplazamiento como la cabecera de transporte, y update_ipv6_checksum() lee y escribe luego el campo de suma de comprobación de transporte fuera de los límites:
BUG: KASAN: slab-use-after-free in inet_proto_csum_replace16+0x445/0x470 Read of size 2 at addr ffff88810b754b06 by task ovs_ipv6_oob/629 CPU: 4 UID: 1000 PID: 629 Comm: ovs_ipv6_oob Tainted: G N 7.3.0-rc3+ #348 Call Trace: inet_proto_csum_replace16+0x445/0x470 set_ipv6_addr+0x3dd/0x460 do_execute_actions+0x6a3d/0x7c40 ovs_execute_actions+0xfd/0x480 ovs_packet_cmd_execute+0xc38/0xf20 genl_rcv_msg+0x59e/0x870 netlink_rcv_skb+0x18b/0x450 genl_rcv+0x2d/0x40 netlink_unicast+0x6bc/0xa20
La dirección defectuosa pertenece al objeto en ffff88810b754980 que pertenece a la caché skbuff_small_head de tamaño 704 La dirección defectuosa se encuentra 390 bytes dentro de una región liberada de 704 bytes [ffff88810b754980, ffff88810b754c40)
Otros llamadores también utilizan ese desplazamiento, por lo que se limita aquí en lugar de hacerlo en un solo llamador.
Rechazar una cabecera cuya longitud declarada no cabe dentro del paquete. ipv6_find_hdr() ya falla con -EBADMSG ante una cadena malformada, por lo que esto no añade nuevos modos de fallo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.