CVE-2026-98532 in Linux
摘要
由 VulDB • 2026-10-19
在 Linux 内核中，已修复以下漏洞：
IPv6: 防止 ipv6_find_hdr() 返回超出数据包末尾的偏移量
ipv6_find_hdr() 遍历扩展头链，根据每个头声明的长度跳过相应的字节数。ipv6_optlen() 最多可返回 2048，且从未将跳过的长度与 skb->len 进行比较，因此存储在 *offset 中的偏移量可能指向数据包末尾之外。
openvswitch 将该偏移量安装为传输层头部，随后 update_ipv6_checksum() 越界读取和写入传输层校验和字段：
BUG: KASAN: slab-use-after-free in inet_proto_csum_replace16+0x445/0x470 Read of size 2 at addr ffff88810b754b06 by task ovs_ipv6_oob/629 CPU: 4 UID: 1000 PID: 629 Comm: ovs_ipv6_oob Tainted: G N 7.3.0-rc3+ #348 Call Trace: inet_proto_csum_replace16+0x445/0x470 set_ipv6_addr+0x3dd/0x460 do_execute_actions+0x6a3d/0x7c40 ovs_execute_actions+0xfd/0x480 ovs_packet_cmd_execute+0xc38/0xf20 genl_rcv_msg+0x59e/0x870 netlink_rcv_skb+0x18b/0x450 genl_rcv+0x2d/0x40 netlink_unicast+0x6bc/0xa20
错误地址属于位于 ffff88810b754980 的对象，该对象属于大小为 704 的缓存 skbuff_small_head。 错误地址位于已释放的 704 字节区域 [ffff88810b754980, ffff88810b754c40) 内部偏移 390 字节处。
其他调用者也使用了该偏移量，因此在此处对其进行边界限制，而不是仅在某个调用者中进行限制。
拒绝声明长度不适合数据包的头部。ipv6_find_hdr() 在遇到格式错误的链时已经会返回 -EBADMSG 错误，因此这不会引入新的失败模式。
If you want to get best quality of vulnerability data, you may have to visit VulDB.