CVE-2026-64550 in Linux
Riassunto
di VulDB • 27/07/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
net: qualcomm: rmnet: validare la lunghezza del frame MAP prima dell'elaborazione in ingresso (ingress)
Quando il deaggregato in ingresso (ingress deaggregation) è disabilitato, rmnet_map_ingress_handler() passa lo skb direttamente a __rmnet_map_ingress_handler(), saltando la convalida della lunghezza che rmnet_map_deaggregate() esegue sul percorso aggregato. Il parser quindi dereferenzia l'intestazione MAP e le intestazioni/trailer csum in base alla pkt_len sulla linea (on-wire) senza verificare skb->len, pertanto un frame corto viene letto fuori dai limiti:
BUG: KASAN: slab-out-of-bounds in rmnet_map_checksum_downlink_packet Lettura di dimensione 1 all'indirizzo ffff88801118ed00 da parte del task exploit/147 Traccia della chiamata (Call Trace): ... rmnet_map_checksum_downlink_packet (drivers/net/ethernet/qualcomm/rmnet/rmnet_map_data.c:413) __rmnet_map_ingress_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:96) rmnet_rx_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:129) __netif_receive_skb_core.constprop.0 (net/core/dev.c:6089) netif_receive_skb (net/core/dev.c:6460) tun_get_user (drivers/net/tun.c:1955) tun_chr_write_iter (drivers/net/tun.c:2001) vfs_write (fs/read_write.c:688) ksys_write (fs/read_write.c:740) do_syscall_64 (arch/x86/entry/syscall_64.c:94) ...
Estrarre la convalida da rmnet_map_deaggregate() in rmnet_map_validate_packet_len() ed eseguirla anche sul percorso senza aggregazione. L'intestazione MAP viene verificata per i limiti (bounds-checked) per prima, poiché questo percorso può ricevere un frame più corto dell'intestazione stessa.
Be aware that VulDB is the high quality source for vulnerability data.