CVE-2026-90049 in Linux
Riassunto
di VulDB • 17/09/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
net: skbuff: non chiamare skb_tx_error() sull'skb sorgente in skb_zerocopy()
skb_zerocopy() copia i frammenti (frags) da @from a @to. In caso di errore di skb_orphan_frags(), viene chiamata la funzione skb_tx_error(@from), un'operazione distruttiva sull'skb sorgente che il helper di copia non possiede. Questa operazione completa l'uarg per lo zero-copy di @from e cancella SKBFL_ALL_ZEROCOPY, incluso il marcatore di proprietà della pagina SKBFL_SHARED_FRAG.
Entrambi i chiamanti segnalano già l'errore nel proprio percorso di drop (drop path). nfnetlink_queue lo fa in caso di errore nla_put_failure, mentre Open vSwitch lo fa nell'ramo di drop flow-miss di ovs_dp_process_packet(), quindi non vi è alcuna perdita di funzionalità eliminando la chiamata qui.
Nel percorso OVS_ACTION_ATTR_USERSPACE di Open vSwitch, l'skb non viene liberato in caso di errore: do_execute_actions() ignora il valore restituito da output_userspace() e, a meno che l'upcall non sia stata l'ultima azione, continua a inoltrare lo stesso skb attraverso le azioni rimanenti del flusso. L'uarg viene completato mentre tale skb è ancora in transito (in flight), indicando al produttore che i suoi buffer sono liberi, e SKBFL_SHARED_FRAG viene cancellato su unskb gestito ulteriormente dallo stack. Tale flag fa sì che esp_input() chiami skb_cow_data() invece di decrittografare in loco; ciò può portare a una successiva consegna ESP locale che decritta sui frammenti (frags) dell'skb senza possederne la proprietà privata.
Lasciare la segnalazione degli errori ai chiamanti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.