CVE-2026-99284 Pérdida del marcador de fragmento compartido en skb_zerocopy() del kernel de Linux
skb_zerocopy() no propaga SKBFL_SHARED_FRAG a los descriptores de fragmento copiados, por lo que el skb destino no reporta skb_has_shared_frag(). Esto permite que un usuario sin privilegios escriba en la caché de páginas de un archivo de solo lectura propiedad de root al descifrarse en el lugar un skb construido para nfnetlink_queue u openvswitch.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 11
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Linux
desde af2806f8f90a150160be898cd85332459c83c5cb hasta antes de 1c623e3cbf43f12dd4a72712079bfa247a9b8ba3desde af2806f8f90a150160be898cd85332459c83c5cb hasta antes de d7d6ff98d5d1b400f02211f962ac32cc0020aeabdesde af2806f8f90a150160be898cd85332459c83c5cb hasta antes de 1a9c180cd8435917b7516edfb1c9148032c28773desde af2806f8f90a150160be898cd85332459c83c5cb hasta antes de 79dc34beb1fdb3da79753e51e15c68591a2561fe
Linux
3.14
Qué hacer
- Verificá si usás Linux y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
In the Linux kernel, the following vulnerability has been resolved:
net: skbuff: propagate shared-frag marker in skb_zerocopy()
skb_zerocopy() moves frag descriptors from @from into @to and takes a
reference on each frag, but it does not copy skb_shinfo(from)->flags into
skb_shinfo(to)->flags. A destination skb holding the same page-cache
backed frags as the source therefore reports skb_has_shared_frag() as
false.
That breaks the invariant relied on by later in-place writers. ESP input
checks skb_has_shared_frag() before deciding whether an uncloned
nonlinear skb can skip skb_cow_data(); with the marker lost, an skb that
skb_zerocopy() built for nfnetlink_queue or for an openvswitch upcall is
decrypted in place, letting an unprivileged user write into the page
cache of a root-owned read-only file.
Propagate SKBFL_SHARED_FRAG when frag descriptors are copied, as done for
the other frag-transfer helpers.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.