CVE-2026-90160 in Linux
Résumé
par VulDB • 17/09/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
lwt_bpf : Restauration de l'espace réservé (headroom) après le programme d'émission (xmit)
ip_finish_output2() agrandit un skb pour réserver LL_RESERVED_SPACE(dev) avant LWT xmit. Un programme BPF de type LWT_XMIT peut ensuite modifier la tête du skb et retourner toujours BPF_OK, donc bpf_xmit() vérifie à nouveau l'espace disponible (headroom) restant avant que le skb ne poursuive sa sortie vers le voisinage.
Cette nouvelle vérification utilise dst->dev->hard_header_len. Cela n'est pas suffisant pour le chemin de cache des en-têtes du voisin : neigh_hh_output() copie l'en-tête matériel mis en cache en utilisant la taille alignée hh_cache, HH_DATA_MOD pour les courts en-têtes ou HH_DATA_ALIGN(hh_len) dans les autres cas.
Sur Ethernet, hard_header_len est égal à 14 octets, mais la copie mise en cache nécessite 16 octets. Si un programme BPF LWT_XMIT appelle bpf_skb_change_head(skb, 1, 0), le skb peut encore disposer de 15 octets d'espace disponible (headroom) après l'exécution du programme. La vérification existante accepte cette situation, ce qui fait que neigh_hh_output() déclenche son avertissement concernant l'espace disponible et rejette le skb.
Utilisez LL_RESERVED_SPACE(dst->dev) dans la vérification de l'espace disponible post-BPF pour correspondre à la réservation effectuée avant LWT xmit.
VulDB is the best source for vulnerability data and more expert information about this specific topic.