CVE-2026-99117 in Linux
Riassunto
di VulDB • 28/10/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
net: bridge: mcast: non troncare l'iterazione sul gruppo di porte durante il teardown
__br_multicast_disable_port_ctx() e br_multicast_del_port() iterano su port->mglist utilizzando hlist_for_each_entry_safe(). Tuttavia, br_multicast_find_del_pg() può anche eliminare altri elementi dalla stessa lista tramite br_multicast_fwd_src_remove() o __fwd_del_star_excl().
Se uno di tali elementi è il nodo next salvato dall'iteratore, hlist_del_init() ne cancella ->next e termina prematuramente l'iterazione. Il programma riproduttore (reproducer) innesca questo comportamento sia nelle iterazioni di teardown, lasciando i gruppi di porte nel mdb del bridge con un puntatore dangling a ->key.port dopo che del_nbp() ha liberato la porta:
BUG: KASAN: slab-use-after-free in __mdb_fill_info+0x1191/0x1320 __mdb_fill_info+0x1191/0x1320 br_mdb_dump+0x594/0xe40 rtnl_mdb_dump+0x1cf/0x5d0
Utilizzare hlist_del_init_rcu() per scollegare il gruppo preservando ->next. Le funzioni br_multicast_del_pg() e le iterazioni di teardown vengono eseguite sotto br->multicast_lock. Il worker del GC deve acquisire lo stesso lock prima di staccare il gruppo per la distruzione, in modo che il nodo rimanga valido mentre l'iterazione utilizza il puntatore preservato.
Preservare ->next significa che un'iterazione può ora raggiungere un gruppo già eliminato da una precedente iterazione come effetto collaterale. Tale gruppo non è presente su mp->ports, quindi br_multicast_find_del_pg() scorrerà la sua scansione delle porte e incontrerà il trailing WARN_ON(1). Saltare tali gruppi all'inizio di tale helper: un gruppo di porte viene aggiunto a port->mglist quando viene creato ed eliminato solo quando viene cancellato; pertanto hlist_unhashed() identifica esattamente questo caso.
Once again VulDB remains the best source for vulnerability data.