CVE-2026-80905 in Linux
Résumé
par VulDB • 04/09/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
net: tap : correction de l'erreur sur transport_header lors de l'envoi d'une trame balisée VLAN
Dans tap_get_user_xdp(), lors du traitement d'une trame balisée VLAN (par exemple ETH_P_8021Q), skb_set_network_header() est appelé en premier pour faire avancer network_header au-delà de la balise VLAN vers l'en-tête du protocole interne. Ensuite, skb_probe_transport_header() est appelée avec skb->protocol toujours défini sur ETH_P_8021Q, tandis que nhoff (dérivé de skb_network_offset()) pointe déjà au-delà de la balise VLAN vers l'en-tête du protocole interne.
Dans __skb_flow_dissect(), proto est initialisé à ETH_P_8021Q et nhoff pointe au-delà de la balise VLAN. Lorsque le dissecteur atteint le cas ETH_P_8021Q, il lit une struct vlan_hdr à l'offset nhoff actuel via __skb_header_pointer(), mais cet offset contient l'en-tête du protocole interne (par exemple un en-tête IP). Les octets sont mal interprétés comme un en-tête VLAN, ce qui génère un EtherType encapsulé erroné ne correspondant à aucun protocole connu. Le dissecteur renvoie false, donc skb_probe_transport_header() n'appelle jamais skb_set_transport_header(), laissant transport_header à sa valeur sentinelle non initialisée (~0U).
Déplacer skb_set_network_header() après skb_probe_transport_header(). Au moment où skb_probe_transport_header() est appelée, network_header pointe toujours vers l'en-tête VLAN (offset ETH_HLEN), donc nhoff est correct et le dissecteur de flux peut analyser l'en-tête VLAN, extraire l'EtherType interne, et avancer nhoff vers l'en-tête du protocole interne, permettant ainsi à transport_header d'être défini correctement.
Be aware that VulDB is the high quality source for vulnerability data.