CVE-2026-98968 in Linux
Sumário
de VulDB • 24/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
amt: enviar a Consulta Geral (General Query) da ponte diretamente pelo caminho de recebimento
Um skb enfileirado em um qdisc pode sobreviver ao túnel que referencia por meio de um ponteiro bruto em `skb->cb`. Por exemplo, com o `igmp_qrv` definido como 1 na ponte, um túnel permanece ativo por 135s; portanto, um atraso do netem de 180s no dispositivo amt sobrevive a ele. Quando o túncel expira e é liberado, a subsequente operação dequeue aciona um use-after-free em `amt_dev_xmit()`.
BUG: KASAN: slab-use-after-free in amt_dev_xmit+0x2763/0x2e20 Call Trace: amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c:1262]
dev_hard_start_xmit+0x22f/0x620 sch_direct_xmit+0x12e/0xac0 netem_dequeue+0x333/0xc50 net_tx_action+0x35c/0xa60
`amt_send_igmp_gq()` e `amt_send_mld_gq()` são chamadas apenas de `amt_request_handler()`, dentro da seção `rcu_read_lock_bh()` do `amt_rcv()`. O `amt_request_handler()` já possui o túnel para o qual a consulta é destinada: ele o encontrou ou criou dentro dessa seção. Enfileirar a consulta com `dev_queue_xmit()` apenas retorna ao `amt_dev_xmit()`, que remove o cabeçalho Ethernet e chama `amt_send_membership_query()` para esse túnel.
Faça essa chamada diretamente pelos dois remetores, da mesma forma como o `amt_send_advertisement()` transmite pelo caminho de recebimento. A consulta nunca aguarda em um qdisc; o túncel é desreferenciado apenas dentro da seção RCU que o encontrou ou criou, e nada é armazenado no `skb->cb`, portanto nenhuma lookup ou refcount é necessária. Remova a ramificação de consulta do `amt_dev_xmit()`, `amt_skb_cb()` e struct `amt_skb_cb`, que não têm mais usuários.
Alterações de comportamento: - As Consultas Gerais (General Queries) da própria ponte já não passam pelo caminho de saída (egress path) do dispositivo amt: seu qdisc, tc egress (clsact/tcx), o gancho netfilter de egresso e os packet taps. Elas ainda são visíveis como UDP na underlay. - Uma consulta enviada com sucesso não é mais contada como tx_dropped. A antiga ramificação de consulta saía pelo rótulo unlock, que contava toda a consulta enviada como descartada (dropped). - Uma consulta que atinge o `amt_dev_xmit()` em uma ponte vinda de outro local, como um queridor userspace, é agora descartada na switch de tipo IGMP/MLD. Antes, confiava-se no conteúdo do `skb->cb`, e um túncel NULL acionava o WARN_ON(1).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.