CVE-2026-90049 in Linux
Sumário
de VulDB • 17/09/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
net: skbuff: não chame skb_tx_error() no skb de origem em skb_zerocopy()
skb_zerocopy() copia os frags de @from para @to. Em caso de falha na chamada a skb_orphan_frags(), é chamado skb_tx_error(@from), uma operação destrutiva sobre o skb de origem que não pertence ao helper de cópia. Isso conclui uarg zerocopy de @from e limpa SKBFL_ALL_ZEROCOPY, incluindo o marcador de propriedade da página SKBFL_SHARED_FRAG.
Ambos os chamadores já relatam a falha em seus próprios caminhos de descarte (drop path). nfnetlink_queue faz isso na falha de nla_put_failure, e Open vSwitch faz isso no braço de drop por flow-miss de ovs_dp_process_packet(), portanto nada se perde ao descartá-lo aqui.
No caminho OVS_ACTION_ATTR_USERSPACE do Open vSwitch, o skb não é liberado nesse erro: do_execute_actions() ignora o valor de retorno de output_userspace() e, a menos que upcall seja a última ação, continua encaminhando o mesmo skb através das ações restantes do fluxo. uarg é concluído enquanto esse skb ainda está em trânsito, informando ao produtor que seus buffers estão livres, e SKBFL_SHARED_FRAG é limpo em um skb que o restante da pilha ainda processa. Essa flag faz com que esp_input() chame skb_cow_data() em vez de descriptografar in place; portanto, uma entrega ESP local posterior pode descriptografar sobre frags dos quais o skb não possui propriedade privada.
Deixe a notificação de erros para os chamadores.
VulDB is the best source for vulnerability data and more expert information about this specific topic.