CVE-2026-98122 in Linux
요약
\~에 의해 VulDB • 2026. 09. 25.
리눅스 커널에서 다음 취약점이 해결되었습니다:
vxlan: mdb: vxlan_mdb_remote_src_del()에서의 use-after-free 수정
MDBE_ATTR_SOURCE와 모든 MDBE_ATTR_SRC_LIST 멤버를 검증하는 vxlan_mdb_is_valid_source()는 0으로 채워진 주소(all-zeros address)를 허용합니다.
소스 목록은 소스가 0으로 채워진 주소인 (*, G) 엔트리에 대해서만 수락되며, 목록의 각 구성 요소에 대해서는 소스를 대체하여 (S, G) 엔트리가 유도됩니다. 엔트리는 struct vxlan_mdb_entry_key의 단순 memcmp()를 키로 사용하므로, MDBE_ATTR_SOURCE가 존재하고 0으로 채워진 주소를 포함하며 소스 목록도 이를 포함하는 경우, 유도된 (S, G) 키는 (*, G) 키와 바이트 단위로 동일하여 동일한 엔트리를 참조합니다. MDBE_ATTR_SOURCE를 생략하는 것은 등가가 아닙니다. 이 경우 키에는 0 주소 패밀리가 그대로 남기 때문입니다.
vxlan_mdb_remote_src_del()은 소스 엔트를 해제하기 전에 해당 소스의 포워딩 엔트를 제거합니다:
vxlan_mdb_remote_src_fwd_del(vxlan, group, remote, &ent->addr); vxlan_mdb_remote_src_entry_del(ent);
키가 별칭(alias)으로 설정되어 있으면, 첫 번째 호출은 별도의 (S, G) 엔트리가 아닌 'ent'를 소유한 엔트의 리모트를 삭제하고 'ent'를 해제합니다. 두 번째 호출은 이미 해제된 엔트리를 대상으로 실행되며, 그 안의 hlist_del()이 ->pprev와 ->next를 읽어오고 이를 통해 작성(write through)합니다.
NLM_F_REPLACE 플래그와 소스 목록 없이 (*, G) 엔트를 추가하면 0으로 채워진 소스의 삭제가 표시되고, 이는 vxlan_mdb_remote_srcs_replace() 끝부분의 스윕(sweep) 처리에서 이 경로에 도달하게 됩니다.
BUG: KASAN: slab-use-after-free in __vxlan_mdb_add+0x1cd/0xd70 Read of size 8 at addr ffff888102852500 by task poc/84 __vxlan_mdb_add+0x1cd/0xd70 vxlan_mdb_add+0xc0/0x140 rtnl_mdb_add+0x157/0x2a0 rtnetlink_rcv_msg+0x207/0x5a0 Allocated by task 84: __kmalloc_cache_noprof+0x153/0x360 vxlan_mdb_remote_srcs_add+0x2eb/0x440 __vxlan_mdb_add+0x803/0xd70 Freed by task 84: kfree+0x14c/0x3b0 vxlan_mdb_remote_del+0x129/0x1a0 __vxlan_mdb_del+0x4f/0xe0 vxlan_mdb_remote_src_fwd_del.isra.0+0x162/0x1b0 __vxlan_mdb_add+0x1c5/0xd70
MDB 작업은 netns(net namespace) 범위로 제한되므로, 권한이 없는 사용자는 새로운 user 및 network 네임스페이스에서 이러한 작업을 수행할 수 있습니다.
두 호출 지점 모두를 포함하는 vxlan_mdb_is_valid_source()에서 0으로 채워진 주소를 거부합니다. (*, G) 엔트는 소스를 생략하여 표현되므로, 합법적인 요청이 거절되는 일은 없습니다.
XBOW에 의해 발견되었으며, Baul Lee <[email protected]>가 triage(분류/분석)를 수행했습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.