CVE-2026-68124
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność w sterowniku MCTP serial, gdzie ramka o zerowej długości omija walidację i powoduje zapis poza granicami bufora. Atakujący z uprawnieniami CAP_NET_ADMIN może doprowadzić do przepełnienia bufora i zapisu poza pamięcią.
Ocena ryzyka
Podatność umożliwia lokalny atak z uprawnieniami administratora sieci do zapisu poza przydzieloną pamięcią, co może prowadzić do awarii systemu lub eskalacji uprawnień. Wymaga jednak dostępu do linii tty i skonfigurowania dyscypliny N_MCTP.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki z jądra Linux, która kieruje ramki o zerowej długości do stanu STATE_TRAILER. Jeśli to możliwe, ogranicz dostęp do interfejsów MCTP serial tylko dla zaufanych użytkowników.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-43603Średnie
W sterowniku GPU jądra Linux występuje dereferencja wskaźnika NULL, która może doprowadzić do awarii jądra. Skutkiem może być odmowa usługi (DoS) na dotkniętym systemie.
- CVE-2026-99270Nieznane
W jądrze Linux występuje podatność use-after-free (UAF) w funkcji reqsk_timer_handler(). Gdy migracja gniazda TCP nie powiedzie się w inet_ehash_insert(), kod przechodzi do etykiety no_ownership i natychmiast zwalnia nowy reqsk przez __reqsk_free(), nie zatrzymując wcześniej jego timera, co może prowadzić do UAF.
- CVE-2026-99269Nieznane
W jądrze Linux w schedulerze sched_ext zadanie może znajdować się w nie-lokalnej kolejce DSQ, podczas gdy CPU, które je wysłało, wciąż wykonuje ops.dequeue() i nie wyczyściło flagi SCX_OPSS_DISPATCHING. Ścieżki konsumpcji i przenoszenia DSQ nie czekają na zakończenie wysyłki i mogą operować na zadaniu równolegle z dispatcherem. Poprawka dodaje wywołanie scx_wait_dispatching() przed operacjami na zadaniu.
- CVE-2026-99268Nieznane
W io_uring z IORING_SETUP_DEFER_TASKRUN ukończenia są kolejkowane jako lokalna praca i stają się CQE dopiero, gdy zgłaszający wejdzie do jądra, aby czekać na zdarzenia. io_uring_poll() zgłasza EPOLLIN, jeśli lokalna praca jest oczekująca, ale tylko jeśli praca istnieje w momencie wywołania; po dodaniu DEFER_TASKRUN budzenie ->poll_wq zostało zastąpione bezpośrednim budzeniem zgłaszającego, przez co poll() może zasnąć mimo pojawienia się pracy. Poprawka budzi ->poll_wq, gdy pierwszy wpis trafia na listę pracy, używając w razie potrzeby callbacku RCU.
- CVE-2026-99267Nieznane
W io_uring NAPI przy dynamicznym śledzeniu identyfikator NAPI, który nie był widziany przez minutę, powinien zostać usunięty z listy odpytywanej przez ring. Limit czasu jest jednak liczony niepoprawnie — użyto SEC_CONVERSION zamiast liczby jiffies w sekundzie, co dla HZ=1000 daje około ośmiu lat, a na 32-bitowych systemach powoduje przepełnienie. W rezultacie wpisy nigdy nie są usuwane i każde odpytywanie sprawdza wszystkie historyczne identyfikatory.
- CVE-2026-99266Nieznane
W io_uring zcrx funkcja io_zcrx_queue_cqe() oblicza przesunięcie bufora w obszarze na podstawie net_iov_idx(), które jest typu unsigned int, więc przesunięcie jest wykonywane w 32 bitach, a dopiero wynik jest rozszerzany do u64 w CQE. Obszar może mieć do 1 TB, więc dla każdego niov powyżej pierwszych 4 GB CQE wskazuje aplikacji bufor o 4 GB (lub wielokrotność) poniżej właściwego. Aplikacja czyta złe dane i zwraca bufor, którego nie posiada, przez kolejkę uzupełnień, podczas gdy prawdziwy nigdy nie jest zwracany.
- CVE-2026-99265Nieznane
W io_uring/openclose funkcja io_pipe_fixed() instaluje oba końce potoku w tabeli stałych plików, zwalnia ->uring_lock i kopiuje numery slotów do aplikacji. Jeśli kopiowanie spowoduje błąd, ponownie bierze blokadę i usuwa to, co znajduje się w tych slotach. Gdy żądanie jest wykonywane przez io-wq, blokada jest naprawdę zwalniana, a sloty są widoczne dla innych; zanim ścieżka błędu do nich dotrze, mogą zostać zamknięte i ponownie użyte (przez IORING_OP_CLOSE, bezpośrednie open/accept lub IORING_REGISTER_FILES_UPDATE), co powoduje usunięcie pliku niezwiązanego z nieudanym żądaniem. Poprawka wykonuje kopiowanie z trzymaną blokadą.
- CVE-2026-99264Nieznane
W jądrze Linux naprawiono błąd w io_uring/net dotyczący ponawiania odbioru (recv) na niezatwierdzonych buforach. Gdy odbiór był ponawiany po częściowym transferze, jądro mogło ponownie udostępnić pamięć bufora, do której ponawiane żądanie wciąż zapisywało, co prowadziło do nadpisania danych. Zamiast ponawiać, żądanie jest teraz kończone z otrzymaną liczbą bajtów, a MSG_WAITALL nie jest już respektowane dla buforów inkrementalnych i wiązek wielu buforów.
- CVE-2026-99263Nieznane
W io_uring/poll jeśli wybudzenie ustawi IO_POLL_RETRY_FLAG pomiędzy momentem, gdy zadanie będące właścicielem skonsumuje istniejącą instancję IO_POLL_RETRY_FLAG, a sprawdzeniem pętli w io_poll_check_events(), przetwarzanie żądania zostaje wstrzymane do czasu nadejścia niezwiązanego wybudzenia. Poprawka używa atomic_cmpxchg zamiast atomic_sub_return, aby zagwarantować, że licznik v i poll_refs wynoszą 0 i żadne wybudzenia nie zostaną pominięte.
- CVE-2026-99262Nieznane
W io_uring/timeout żądanie IORING_OP_TIMEOUT uruchamiane przez io-wq z powodu IOSQE_ASYNC ma ten sam problem co poll, futex i waitid. io_wq_submit_work() sprawdza IO_WQ_WORK_CANCEL tylko raz, przed wydaniem żądania; anulowanie w międzyczasie ustawia flagę, otrzymuje -EALREADY i bezskutecznie szuka w ->timeout_list, podczas gdy worker dodaje żądanie i uruchamia timer. Nikt nie sprawdza flagi ponownie i limit czasu trwa do końca, a przy wyjściu z ringu zadanie może zawiesić się na cały czas trwania limitu. Poprawka sprawdza flagę pod ->timeout_lock i odrzuca żądanie, jeśli jest ustawiona.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: mctp: serial: handle zero-length frames to prevent rx buffer overflow The MCTP serial receive state machine reads a frame length byte in mctp_serial_push_header() case 2 and validates it upper-bound-only: if (c > MCTP_SERIAL_FRAME_MTU) { dev->rxstate = STATE_ERR; } else { dev->rxlen = c; dev->rxpos = 0; dev->rxstate = STATE_DATA; ... } A length of zero passes this check, so rxlen is set to 0 and the state machine advances to STATE_DATA. In mctp_serial_push() STATE_DATA, the incoming byte is stored and rxpos incremented before the terminator is dev->rxbuf[dev->rxpos] = c; dev->rxpos++; dev->rxstate = STATE_DATA; if (dev->rxpos == dev->rxlen) { dev->rxpos = 0; dev->rxstate = STATE_TRAILER; } With rxlen == 0 the "rxpos == rxlen" terminator can never fire (rxpos is already 1 on the first data byte), so subsequent bytes are written past the end of the fixed 74-byte rxbuf, which is the last member of the netdev private area. Every following data byte is an attacker-controlled 1-byte out-of-bounds heap write, and the overflow continues until a frame (0x7e) or escape byte resets the parser -- effectively unbounded. Reaching this requires CAP_NET_ADMIN to attach the N_MCTP line discipline and bring the resulting mctpserialN netdev up, after which the bytes arrive via the tty receive path. Route a zero-length frame straight to STATE_TRAILER instead of STATE_DATA. The trailer/framing bytes are still consumed, and the frame resolves to a zero-length skb that the MCTP core rejects; the parser never enters STATE_DATA with rxlen == 0, so the out-of-bounds write can no longer occur. KASAN, on a frame of 0x7e 0x01 0x00 followed by data bytes (before this change): UBSAN: array-index-out-of-bounds in drivers/net/mctp/mctp-serial.c:370 index 74 is out of range for type 'u8 [74]' BUG: KASAN: slab-out-of-bounds in mctp_serial_tty_receive_buf Write of size 1 at addr ... by task kworker/u16:0 mctp_serial_tty_receive_buf tty_ldisc_receive_buf flush_to_ldisc Allocated by task 152: alloc_netdev_mqs mctp_serial_open v2: route zero-length frames to STATE_TRAILER instead of STATE_ERR so the trailer/framing bytes are still consumed (Jeremy Kerr). Found by 0sec automated security-research tooling (https://0sec.ai).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS