CVE-2026-64550 in Linux
요약
\~에 의해 VulDB • 2026. 07. 28.
리눅스 커널에서 다음 취약점이 해결되었습니다:
net: qualcomm: rmnet: 진입 파싱 전에 MAP 프레임 길이를 검증합니다.
진입 비집합(deaggregation)이 비활성화된 경우, rmnet_map_ingress_handler()은 skb를 __rmnet_map_ingress_handler()로 직접 전달하여 집합 경로에서 rmnet_map_deaggregate()가 수행하는 길이 검증을 건너뜁니다. 그 후 파서는 skb->len을 확인하지 않고 on-wire pkt_len에 기반하여 MAP 헤더와 csum 헤더/트레일러를 역참조하므로, 짧은 프레임의 경우 경계 밖(out-of-bounds)으로 읽히게 됩니다:
BUG: KASAN: slab-out-of-bounds in rmnet_map_checksum_downlink_packet Read of size 1 at addr ffff88801118ed00 by task exploit/147 Call Trace: ... rmnet_map_checksum_downlink_packet (drivers/net/ethernet/qualcomm/rmnet/rmnet_map_data.c:413) __rmnet_map_ingress_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:96) rmnet_rx_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:129) __netif_receive_skb_core.constprop.0 (net/core/dev.c:6089) netif_receive_skb (net/core/dev.c:6460) tun_get_user (drivers/net/tun.c:1955) tun_chr_write_iter (drivers/net/tun.c:2001) vfs_write (fs/read_write.c:688) ksys_write (fs/read_write.c:740) do_syscall_64 (arch/x86/entry/syscall_64.c:94) ...
검증 로직을 rmnet_map_deaggregate()에서 분리하여 rmnet_map_validate_packet_len()으로 옮기고, 비집합 경로에서도 이를 실행합니다. 이 경로는 헤더보다 짧은 프레임을 수신할 수 있으므로 MAP 헤더에 대한 경계 검사를 먼저 수행합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.