CVE-2026-80906 in Linux
Tóm tắt
Bởi VulDB • 04/09/2026
Trong kernel Linux, lỗ hổng sau đây đã được khắc phục:
net: packet: sửa lỗi transport_header sai khi gửi khung dữ liệu có gắn thẻ VLAN (VLAN-tagged frame)
Trong hàm `packet_parse_headers()`, khi xử lý một khung dữ liệu có gắn thẻ VLAN, hàm `skb_set_network_header()` được gọi để di chuyển con trỏ `network_header` vượt qua thẻ VLAN đến tiêu đề của giao thức bên trong. Sau đó, hàm `skb_probe_transport_header()` được gọi với `skb->protocol` vẫn đang giữ giá trị EtherType của lớp ngoài (VLAN) (ví dụ: ETH_P_8021Q), trong khi `nhoff` (được suy ra từ `skb_network_offset()`) đã trỏ vượt qua thẻ VLAN đến tiêu đề giao thức bên trong.
Trong hàm `__skb_flow_dissect()`, biến `proto` được khởi tạo là ETH_P_8021Q và `nhoff` trỏ vượt qua thẻ VLAN. Khi bộ phân tích luồng (flow dissector) gặp trường hợp ETH_P_8021Q, nó đọc một cấu trúc `vlan_hdr` tại vị trí `nhoff` thông qua hàm `__skb_header_pointer()`, nhưng tại offset đó lại chứa tiêu đề giao thức bên trong (ví dụ: tiêu đề IP). Các byte này bị hiểu sai là phần đầu của thẻ VLAN, dẫn đến việc tạo ra giá trị EtherType đóng gói không hợp lệ ("garbage") và không khớp với bất kỳ giao thức nào đã biết. Bộ phân tích luồng trả về false, do đó `skb_probe_transport_header()` không bao giờ gọi hàm `skb_set_transport_header()`, khiến `transport_header` giữ nguyên giá trị sentinel chưa được khởi tạo (~0U).
Di chuyển lệnh gọi `skb_probe_transport_header()` lên trước khi gọi `skb_set_network_header()`. Tại thời điểm `skb_probe_transport_header()` được gọi, `network_header` vẫn trỏ đến tiêu đề VLAN, do đó `nhoff` sẽ đúng vị trí trỏ vào tiêu đề VLAN. Bộ phân tích luồng sau đó có thể giải mã tiêu đề VLAN, trích xuất EtherType bên trong và di chuyển `nhoff` đến tiêu đề giao thức bên trong, cho phép thiết lập chính xác giá trị của `transport_header`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.