CVE-2026-19673
Beschrijving NL
ethernet_recv() in subsys/net/l2/ethernet/ethernet.c valideert alleen dat de eerste net_buf van een ontvangen frame een gewone 14-byte struct net_eth_hdr bevat. Wanneer het ethertype 0x8100 is en VLAN is ingeschakeld op de interface, wordt dezelfde buffer geherinterpreteerd als de 18-byte struct net_eth_vlan_hdr zonder de lengte opnieuw te controleren: de VLAN TCI en het binnenste ethertype worden gelezen uit offsets 14..17, voorbij pkt- >buffer->len, en hdr_len wordt verhoogd tot 18, zodat de volgende net_buf_pull() meer bytes verwijdert dan de buffer bevat. Een enkel niet-geverifieerd frame van 14 tot 17 bytes met het VLAN-ethertype activeert dit. Er is geen kennis nodig van de VLAN-configuratie van het knooppunt: net_eth_get_vlan_iface() retourneert de basisinterface voor de prioriteitstag 0 en een broadcast-bestemmingsadres voldoet aan de "frame is voor mij" -test, dus een 16-byte broadcast-frame met ethertype 0x8100 en TCI 0x0000 bereikt de pull. Niets in het ontvangstpad dwingt het Ethernet-minimum van 60 bytes af — de USB CDC ECM- en CDC NCM-gadgetklassen in het bijzonder door de hand geleverde frames van elke niet-nullengte rechtstreeks naar net_recv_data(). Met beweringen ingeschakeld, beweert net_buf_simple_pull() en raakt het knooppunt in paniek. In een productieopbouw (beweringen en CONFIG_net_buf_HARDENING off) stroomt de uint16_t-bufferlengte onder naar 65534 en worden buf- >gegevens geavanceerd na het einde van de opslag van het fragment, dus elke latere parser leest ver buiten de buffer en elke net_buf_add() op dat fragment berekent de laadruimte van de ondergelopen lengte. Het resultaat is een betrouwbare weigering van service op afstand en toegang buiten de grenzen met potentieel voor openbaarmaking van informatie en corruptie. Alleen configuraties gebouwd met CONFIG_net_VLAN=y die een VLAN hebben ingeschakeld op de ontvangende Ethernet-interface en waarvan de MAC geen VLAN-tags in hardware (ETHERNET_HW_VLAN_TAG_STRIP) VERWIJDERT, worden beïnvloed. De fix wijst het frame af voordat de tag wordt gelezen, dus hdr_len is daarna ofwel 14 of 18 met beide maten gevalideerd tegen pkt->buffer->len.
Origineel (Engels) tonen
ethernet_recv() in subsys/net/l2/ethernet/ethernet.c validates only that the first net_buf of a received frame holds a plain 14-byte struct net_eth_hdr. When the ethertype is 0x8100 and VLAN is enabled on the interface, the same buffer is reinterpreted as the 18-byte struct net_eth_vlan_hdr without re-checking the length: the VLAN TCI and the inner ethertype are read from offsets 14..17, past pkt->buffer->len, and hdr_len is raised to 18 so the subsequent net_buf_pull() removes more bytes than the buffer holds.
A single unauthenticated frame of 14 to 17 bytes carrying the VLAN ethertype triggers this. No knowledge of the node's VLAN configuration is needed: net_eth_get_vlan_iface() returns the base interface for the priority tag 0, and a broadcast destination address satisfies the "frame is for me" test, so a 16-byte broadcast frame with ethertype 0x8100 and TCI 0x0000 reaches the pull. Nothing in the receive path enforces the 60-byte Ethernet minimum — the USB CDC ECM and CDC NCM gadget classes in particular hand host-supplied frames of any non-zero length straight to net_recv_data().
With assertions enabled, net_buf_simple_pull() asserts and the node panics. In a production build (assertions and CONFIG_NET_BUF_HARDENING off) the uint16_t buffer length underflows to 65534 and buf->data is advanced past the end of the fragment's storage, so every later parser reads far outside the buffer and any net_buf_add() on that fragment computes tailroom from the underflowed length. The result is a reliable remote denial of service and out-of-bounds access with information-disclosure and corruption potential.
Only configurations built with CONFIG_NET_VLAN=y that have a VLAN enabled on the receiving Ethernet interface, and whose MAC does not strip VLAN tags in hardware (ETHERNET_HW_VLAN_TAG_STRIP), are affected. The fix rejects the frame before the tag is read, so hdr_len is thereafter either 14 or 18 with both sizes validated against pkt->buffer->len.