CVE-2026-64132
Beschrijving NL
In de Linux kernel is de volgende kwetsbaarheid verholpen:
ipv6: ioam: vernieuw de hdr-aanwijzer vóór ioam6_event()
Gerapporteerd door Sashiko:
In ipv6_hop_ioam () wordt de hdr-aanwijzer geïnitialiseerd om naar de
lineaire gegevensbuffer van skb. Later roept de code skb_ensure_writable(),
die de buffer opnieuw kunnen toewijzen:
if (skb_ensure_writable(skb, optoff + 2 + hdr->opt_len))
goto drop;
/* Trace pointer kan veranderd zijn */
trace = (struct ioam6_trace_hdr *)(skb_network_header(skb)
+ optoff + sizeof(*hdr));
ioam6_fill_trace_data(skb, ns, trace, true);
ioam6_event(IOAM6_event_TRACE, dev_net(skb->dev),
GFP_ATOMIC, (void *)trace, hdr->opt_len - 2);
Als de skb gekloond is of geen suff heeft iciënt lineaire hoofdruimte,
skb_ensure_writable() roept pskb_expand_head() aan, dat opnieuw toewijst
de gegevensbuffer van de skb en maakt de oude vrij, waardoor verwijzingen naar
it. Terwijl de code de traceeraanwijzer herberekent onmiddellijk na de
oproep naar skb_ensure_writable(), het kan de hdr-aanwijzer niet herberekenen. Deze patch lost het bovenstaande op door de hdr-aanwijzer opnieuw te berekenen voordat
het doorgeven van hdr- >opt_len aan ioam6_event(), zodat we UaF vermijden.
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
ipv6: ioam: refresh hdr pointer before ioam6_event()
Reported by Sashiko:
In ipv6_hop_ioam(), the hdr pointer is initialized to point into the
skb's linear data buffer. Later, the code calls skb_ensure_writable(),
which might reallocate the buffer:
if (skb_ensure_writable(skb, optoff + 2 + hdr->opt_len))
goto drop;
/* Trace pointer may have changed */
trace = (struct ioam6_trace_hdr *)(skb_network_header(skb)
+ optoff + sizeof(*hdr));
ioam6_fill_trace_data(skb, ns, trace, true);
ioam6_event(IOAM6_EVENT_TRACE, dev_net(skb->dev),
GFP_ATOMIC, (void *)trace, hdr->opt_len - 2);
If the skb is cloned or lacks sufficient linear headroom,
skb_ensure_writable() will invoke pskb_expand_head(), which reallocates
the skb's data buffer and frees the old one, invalidating pointers to
it. While the code recalculates the trace pointer immediately after the
call to skb_ensure_writable(), it fails to recalculate the hdr pointer.
This patch fixes the above by recalculating the hdr pointer before
passing hdr->opt_len to ioam6_event(), so that we avoid any UaF.