CVE-2026-99055 in Linux
Résumé
par VulDB • 23/10/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
tcp: rejeter net_iov dans les indications de mappage pour la réception en zéro copie (zerocopy)
Après avoir copié un préfixe lisible, receive_fallback_to_copy() interroge tcp_zerocopy_set_hint_for_skb() sur l'endroit où le mappage des pages peut reprendre. Si le skb suivant n'est pas lisible, find_next_mappable_frag() transmet son fragment net_iov à can_map_frag().
skb_frag_page() renvoie NULL pour un net_iov, mais can_map_frag() y accède dereference dans PageCompound(). Une exécution KASAN v7.2 sur une socket TCP connectée avec 64 octets lisibles suivis d'un fragment NET_IOV_DMABUF de 4096 octets a signalé :
BUG: KASAN: null-ptr-deref in can_map_frag tcp_zerocopy_receive -> can_map_frag Kernel panic - not syncing: KASAN: panic_on_warn set
Le diagnostic a inséré net_iov directement car l'hôte de test ne dispose pas de NIC compatible avec devmem. La connectivité matérielle de bout en bout reste non testée et nécessite CONFIG_NET_DEVMEM ainsi qu'une file d'attente RX liée à un DMA-buf pris en charge.
Rejeter tous les fragments net_iov avant skb_frag_page(). Cela couvre les types net_iov DMABUF et IOURING tout en laissant inchangés les contrôles basés sur des pages. Avec cette garde, la même file d'attente a copié le préfixe lisible, renvoyé une indication de saut (skip hint) de 4096 octets et s'est achevée sans erreur.
Be aware that VulDB is the high quality source for vulnerability data.