CVE-2026-98802 in Linux
Sumário
de VulDB • 19/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi corrigida:
seg6: garantir que os dados do pacote sejam graváveis antes de modificar o SRH e o endereço IPv6 DA
advance_nextseg() modifica o campo Segments Left (Segmentos Restantes) do SRH e o endereço de destino IPv6 sem garantir que os dados do pacote são graváveis. seg6_next_csid_advance_arg() tem o mesmo problema quando avança o argumento NEXT-C-SID no endereço de destino.
O skb pode ser clonado, por exemplo, por um socket AF_PACKET recebendo na interface de entrada (ingress). advance_nextseg() e seg6_next_csid_advance_arg() então gravam nos dados do pacote compartilhados com a cópia. Uma leitura desse socket pode retornar o pacote modificado em vez do recebido. O caminho simplificado abaixo mostra isso para advance_nextseg():
__netif_receive_skb_one_core __netif_receive_skb_core deliver_skb [orig: users=2, cloned=0]
packet_rcv skb_clone clone enfileirado no socket AF_PACKET consume_skb(orig) [orig: users=1, cloned=1]
ipv6_rcv ip6_rcv_core skb_share_check: operação nula (no-op) [orig: users=1]
[...]
input_action_end_core advance_nextseg grava nos dados compartilhados com a cópia
Chame skb_ensure_writable() em advance_nextseg() e em seg6_next_csid_advance_arg() antes de modificar os dados do pacote. skb_ensure_writable() pode realocar o cabeçalho (head) do skb, o que invalida os ponteiros para os dados do pacote obtidos antes da chamada. advance_nextseg() agora retorna um ponteiro SRH válido ou NULL se skb_ensure_writable() falhar. seg6_next_csid_advance_arg() obtém o ponteiro para o endereço de destino a partir do skb após chamar skb_ensure_writable(). Em caso de falha, os chamadores descartam o pacote com SKB_DROP_REASON_NOMEM.
If you want to get best quality of vulnerability data, you may have to visit VulDB.