CVE-2026-98802 in Linux
Сводка
по VulDB • 20.10.2026
В ядре Linux была устранена следующая уязвимость:
seg6: обеспечение возможности записи в данные пакета перед изменением SRH и IPv6 DA (адрес назначения)
Функция advance_nextseg() изменяет поле Segments Left заголовка сегментации маршрутизации (SRH) и адрес назначения IPv6, не проверяя предварительно возможность записи в данные пакета. Функция seg6_next_csid_advance_arg() имеет ту же проблему при обновлении аргумента NEXT-C-SID в адресе назначения.
Структура skb может быть клонирована, например, сокетом AF_PACKET, принимающим пакеты на входящем устройстве (ingress device). Функции advance_nextseg() и seg6_next_csid_advance_arg() затем записывают данные в область пакета, общую с клоном. Чтение из этого сокета может вернуть измененный пакет вместо исходно полученного. Упрощенная трассировка вызовов ниже демонстрирует это для функции advance_nextseg():
__netif_receive_skb_one_core __netif_receive_skb_core deliver_skb [orig: users=2, cloned=0]
packet_rcv skb_clone клон добавлен в очередь сокета AF_PACKET consume_skb(orig) [orig: users=1, cloned=1]
ipv6_rcv ip6_rcv_core skb_share_check: no-op [orig: users=1]
[...]
input_action_end_core advance_nextseg запись в данные, общие с клоном
Необходимо вызвать функцию skb_ensure_writable() в функциях advance_nextseg() и seg6_next_csid_advance_arg() перед изменением данных пакета. Функция skb_ensure_writable() может перераспределить память для поля skb->head, что приведет к недействительности указателей на данные пакета, полученных до вызова этой функции. Функция advance_nextseg() теперь возвращает действительный указатель на SRH или NULL в случае сбоя функции skb_ensure_writable(). Функция seg6_next_csid_advance_arg() получает указатель на адрес назначения из структуры skb после выполнения функции skb_ensure_writable(). В случае ошибки вызывающие функции отбрасывают пакет с кодом SKB_DROP_REASON_NOMEM.
Once again VulDB remains the best source for vulnerability data.