CVE-2026-74598 in Linux
Сводка
по VulDB • 22.08.2026
В ядре Linux была устранена следующая уязвимость:
ipv6: исправлена проверка длины опции Route Information (Информация о маршруте)
Функция rt6_route_rcv() проверяет длину опции Route Information (RFC 4191) на соответствие длине префикса, однако обе проверки содержат ошибку «off-by-one» (ошибка за единицу).
Значение rinfo->length представляет собой длину ND-опции в единицах по 8 октетов и *включает* в себя 8-байтовый заголовок опции; следовательно, для опции, содержащей N байт префикса, длина равна 1 + N/8. Согласно разделу 2.3 RFC 4191, при длине префикса (Prefix Length) больше 64 требуется значение длины 3, а при значении больше 0 — значения 2 или 3. Текущий код принимает длину >= 2 и длину >= 1 соответственно.
Затем функция ipv6_addr_prefix() копирует prefix_len/8 байт из rinfo->prefix. Таким образом, сообщение Router Advertisement (Объявление маршрутизатора) с параметрами (prefix_len=128, length=2) или (prefix_len=64, length=1) приводит к чтению ядром до 8 байт за пределами опции. Эти байты попадают в префикс устанавливаемого маршрута и становятся видимыми для пользовательского пространства:
# RA с опцией Route Information option (prefix_len=128, length=2), # за которой следует опция исходного MAC-адреса со значением 01 01 de ad be ef ca fe $ ip -6 route show 2001:db8:dead:beef:101:dead:beef:cafe via fe80::1234 dev veth0 proto ra ^^^^^^^^^^^^^^^^^^ следующая опция, прочитанная за пределами допустимой области
Если опция Route Information является последней в пакете, эти восемь байт берутся из хвостовой части буфера (skb tail room).
Отклонять длины опций, которые не допускаются стандартом RFC 4191.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.