CVE-2026-64009 in Linux
Résumé
par VulDB • 19/07/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
xfrm : Vérification du débordement par défaut (underflow) dans xfrm_state_mtu
Leo Lin a signalé un problème d'écriture hors limites (OOB - Out Of Bounds) au niveau du composant esp :
xfrm_state_mtu() retourne une valeur u32 mais effectue ses calculs arithmétiques dans l'espace modulo-2^32 non signé, en soustrayant de la « mtu » argument petite (« header_len + authsize + net_adj », influencée par un attaquant). Un utilisateur sans privilèges peut installer une SA (Security Association) ESP IPv4 tunnel avec une clé d'authentification importante (XFRMA_ALG_AUTH_TRUNC, par exemple hmac(sha512), clé de 64 octets, tronquée à 64 octets), configurer un MTU d'interface faible (68 octets) et définir XFRMA_TFCPAD sur une valeur élevée. Lorsqu'un seul datagramme UDP est ensuite envoyé via le tunnel, xfrm_state_mtu() provoque un débordement par défaut vers une valeur proche de 2^32, et esp_output() l'utilise comme entier signé (signed int) via :
padto = min(x->tfcpad, xfrm_state_mtu(x, mtu_cached)) esp.tfclen = padto - skb->len (assigné à un int)
esp.tfclen se retrouve négatif (par exemple -207). Il est étendu en signe vers size_t lorsqu'il est passé à memset() dans esp_output_fill_trailer(), produisant une écriture de ~16 EB d'octets nuls au niveau du skb_tail_pointer(skb). KASAN le consigne comme « Write of size 18446744073709551537 at addr ffff888... ».
Vérifier l'underflow et retourner 1. Cela provoque l'échec de la tentative sendmsg avec ENETUNREACH.
Once again VulDB remains the best source for vulnerability data.