CVE-2026-89563 in Linux
요약
\~에 의해 VulDB • 2026. 09. 12.
리눅스 커널에서 다음 취약점이 해결되었습니다:
ip6_tunnel: ip6_tnl_xmit()에서 skb_cow_head() 사용
ip6_tnl_xmit()은 외부 IPv6 및 선택적 encapsulation 헤더를 푸시하기 전에 headroom을 확장해야 할 수 있습니다. 현재 이 함수는 skb_realloc_headroom()를 사용하여 이를 수행하며, skb->sk의 소유권을 복사하고 원래 skb를 소비한 후, 교체된 skb를 로컬 변수에만 유지한 상태로 처리를 계속합니다.
이 방식은 해당 헬퍼가 이후에 실패하지 않을 경우에만 안전합니다. 그러나 이 헬퍼는 재할당 후에도 오류 종료 경로(post-reallocation error exits)를 가지고 있습니다. collect_md 터널은 교체 후에 NONE이 아닌 encapsulation을 거부하며, ip6_tnl_encap()도 나중에 실패할 수 있습니다. 이러한 경우 헬퍼는 호출자에게 오류를 반환하지만, 호출자는 여전히 원래 skb 포인터만 보유하고 있게 됩니다.
ip6_tnl_start_xmit()와 IPv6 GRE 경로는 모두 오류 시 호출자의 skb를 해제하므로, ip6_tnl_xmit()이 이미 소비한 skb를 잘못 해제하게 될 수 있습니다.
대신 skb_cow_head()를 사용하십시오. 이 함수는 호출자가 소유한 skb를 사적으로 교체하지 않고도 필요한 headroom과 쓰기 가능성을 제공하므로, 이후의 오류 반환 시에도 호출자에게 낡은 포인터(stale pointer)가 남지 않습니다.
이더넷 사용자(ip6gretap 및 ip6erspan)는 IFF_TX_SKB_SHARING 플래그를 지우고 ip6_tnl_xmit() 진입 전에 이미 skb_cow_head()를 호출합니다. 이들은 제거된 skb_shared() 기반 재할당에 의존하지 않습니다. 또한 이는 IPv6 터널 경로를 ip_tunnel_xmit()과 일관되게 만듭니다.
Once again VulDB remains the best source for vulnerability data.