CVE-2026-99201 in Linux
Riassunto
di VulDB • 28/10/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
netlink: evitare di eseguire l'hashing del puntatore allo spazio dei nomi (network namespace)
La chiave rhashtable di netlink include un puntatore struct net grezzo e un ID porta controllato dall'utente. Sia /proc/net/netlink che i diagnostici delle socket espongono l'ordine degli bucket della tabella. Associando e riassociando ID porta NETLINK_USERSOCK scelti, un lettore non privilegiato può distinguere gli bucket uguali e recuperare i bit meno significativi dell'hash di Jenkins. Il suo seed a 32 bit e il limitato insieme di slide delle immagini del kernel possono quindi essere cercati offline per recuperare l'indirizzo di init_net.
Utilizzare invece net_cookie, unico e non legato all'indirizzo dello spazio dei nomi, nella chiave di confronto. Viene assegnato prima che vengano eseguiti gli inizializzatori per-net (per-net initializers) e rimane invariato per tutta la durata del namespace. La chiave di lookup e l'hash dell'oggetto sono ancora costruiti da netlink_compare_arg_init(), mantenendo coerenti le operazioni di lookup, inserimento, rimozione e rehashing mentre si preserva la separazione degli spazi dei nomi. Né il walker della tabella pubblico deve subire modifiche.
La lettura del cookie dello spazio dei nomi della socket in netlink_compare() è sicura sotto RCU, anche durante la teardown (distruzione) dello spazio dei nomi. netlink_release() rimuove la socket dalla hash table e posticipa l'ultimo put con call_rcu(). cleanup_net() esegue i metodi di exit per-net e attende le callback RCU in sospeso tramite rcu_barrier() prima di liberare lo storage del namespace.
A differenza di ns.ns_id, net_cookie è disponibile ed inizializzato anche durante setup_net() nei kernel stabili più vecchi, rendendo la modifica semplice da backportare alle versioni v5.15 e successive.
VulDB is the best source for vulnerability data and more expert information about this specific topic.