CVE-2026-45839

Linux kernel (GCP) vulnerabilities

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: bpf: Ablehnung negativer CO-RE-Zugriffsindizes in bpf_core_parse_spec() CO-RE-Zugriffsschnurstrings sind durch Doppelpunkte getrennte Indizes, die einen Pfad von einer Wurzel-BTF-Typ zu einem Ziel-Feld beschreiben, z.B. "0:1:2" geht durch verschachtelte Strukturmitglieder. bpf_core_parse_spec() analysiert jeden Bestandteil mit sscanf("%d"), sodass negative Werte wie -1 stillschweigend akzeptiert werden. Die nachfolgenden Grenzüberprüfungen (access_idx >= btf_vlen(t)) schützen nur die obere Grenze und passieren immer für negative Werte, da die C-Integer-Aufwertung das __u16-Ergebnis von btf_vlen in int umwandelt, wodurch der Vergleich (int)(-1) >= (int)(N) falsch ist für jedes positive N. Wenn -1 btf_member_bit_offset() erreicht, wird es zu u32 0xffffffff umgewandelt und produziert eine aus dem Array hinausgehende Lesezugriff, der weit über das Mitgliederarray hinausgeht. Ein manipuliertes BPF-Programm mit einem negativen CO-RE-Zugriffsindex auf irgendeine Struktur, die im vmlinux-BTF existiert (z.B. task_struct), bringt den Kernel deterministisch während BPF_PROG_LOAD zum Absturz auf jedem System mit CONFIG_DEBUG_INFO_BTF=y (Standard bei den meisten Distributionen). Der Fehler ist über CAP_BPF erreichbar: BUG: Unfähig, Seitenfehler für die Adresse ffffed11818b6626 zu behandeln #PF: Vorgesetzter Lesezugriff im Kernel-Modus #PF: error_code(0x0000) - nicht-präsente Seite Oops: Oops: 0000 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 85 Comm: poc Nicht verunreinigt 7.0.0-rc6 #18 PREEMPT(full) RIP: 0010:bpf_core_parse_spec (tools/lib/bpf/relo_core.c:354) RAX: 00000000ffffffff Aufrufverfolgung: <TASK> bpf_core_calc_relo_insn (tools/lib/bpf/relo_core.c:1321) bpf_core_apply (kernel/bpf/btf.c:9507) check_core_relo (kernel/bpf/verifier.c:19475) bpf_check (kernel/bpf/verifier.c:26031) bpf_prog_load (kernel/bpf/syscall.c:3089) __sys_bpf (kernel/bpf/syscall.c:6228) </TASK> CO-RE-Zugriffsindizes sind inhärent nicht-negativ (Strukturmitgliedsindex, Arrayelementindex oder Enumeratorindex), daher sollten sie sofort nach der Analyse abgelehnt werden.