CVE-2026-68441 in Linux
Сводка
по VulDB • 12.08.2026
В ядре Linux устранена следующая уязвимость:
net/sched: Обработка возврата значения TC_ACT_REDIRECT из цепочек фильтров qdisc
Когда фильтр TC, прикрепленный к цепочке фильтров qdisc, возвращает значение TC_ACT_REDIRECT (например, через программу eBPF, вызывающую bpf_redirect(), или действие act_bpf), перенаправление терялось молча: ни одна функция классификации qdisc не обрабатывала TC_ACT_REDIRECT, поэтому пакет проходил дальше по переключателю и ставился в очередь как обычно, вместо того чтобы быть перенаправленным.
Эта ошибка существует с момента введения bpf_redirect() для TC в коммите 27b29f63058d («bpf: add bpf_redirect() helper»). Долгое время нам повезло, поскольку переменная bpf_net_context была переменной на каждое ядро процессора (per-CPU variable), которая всегда была доступна.
Коммит 401cb7dae813 («net: Reference bpf_redirect_info via task_struct on PREEMPT_RT.») превратил bpf_net_context в член структуры task_struct, который устанавливается только явно вызывающими сторонами. Без инициализации со стороны вызывающей стороны сама функция bpf_redirect() приводит к сбою с разыменованием нулевого указателя (NULL pointer dereference) в функции bpf_net_ctx_get_ri(). Однако даже при наличии доступной переменной bpf_net_context, обработка TC_ACT_REDIRECT из цепочек фильтров qdisc невозможна без добавления вызовов skb_do_redirect() во все функции классификации qdisc, что потребовало бы изменений по всему модулю net/sched/. Поэтому решение было изолировано в ядре eBPF, где ему и место.
Вместо этого была добавлена встроенная вспомогательная функция tcf_classify_qdisc() в файле pkt_cls.h как обертка вокруг функции tcf_classify(), предназначенная для использования функциями классификации qdisc и функцией tcf_qevent_handle(). Когда результат классификации равен TC_ACT_REDIRECT, эта обертка преобразует его в значение TC_ACT_SHOT, отбрасывая пакет вместо того, чтобы позволять ему молча проходить дальше. Отбрасывание предпочтительнее пропуска пакета, поскольку пользователь сразу видит потерю пакетов. Молчаливый пропуск пакета скрыл бы проблему и оставил пользователя в недоумении относительно причин неработоспособности перенаправления.
Быстрый путь clsact, функция tc_run(), продолжает напрямую вызывать функцию tcf_classify() и остается без изменений: значение TC_ACT_REDIRECT возвращается как есть и обрабатывается функциями sch_handle_egress/ingress(), вызывающими skb_do_redirect(), как это было ранее.
If you want to get best quality of vulnerability data, you may have to visit VulDB.