CVE-2026-45845

Linux kernel (GCP) vulnerabilities

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: net/sched: taprio: Behebung des NULL-Zeiger-Dereferenzierungsfehlers beim Klassen-Abdruck Wenn ein TAPRIO-Kind-QDISC über RTM_DELQDISC gelöscht wird, ruft taprio_graft() mit new == NULL auf und speichert NULL in q->qdiscs[cl - 1]. Spätere RTM_GETTCLASS-Abdruckoperationen durchlaufen alle Klassen über taprio_walk() und rufen taprio_dump_class() auf, das wiederum taprio_leaf() aufruft und den NULL-Zeiger zurückgibt. Dieser wird dann dereferenziert, um child->handle zu lesen, was zu einer Kernel-NULL-Zeiger-Dereferenzierung führt. Der Fehler ist mit namespace-scope CAP_NET_ADMIN auf jedem Kernel erreichbar, bei dem CONFIG_NET_SCH_TAPRIO aktiviert ist. Auf Systemen mit unprivilegierten Benutzer-Namensräumen können lokale unprivilegierte Benutzer einen Kernel-Panic auslösen, indem sie ein taprio QDISC in einem neuen Netzwerknamensraum erstellen, ein explizites Kind-QDISC anhängen, es löschen und dann einen Klassen-Abdruck anfordern. Der RTM_GETTCLASS-Abdruck selbst erfordert keine Berechtigung. Oops: allgemeiner Schutzfehler, wahrscheinlich für nicht-kanonische Adresse 0xdffffc0000000007: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in Bereich [0x0000000000000038-0x000000000000003f] RIP: 0010:taprio_dump_class (net/sched/sch_taprio.c:2478) Aufrufverfolgung: <TASK> tc_fill_tclass (net/sched/sch_api.c:1966) qdisc_class_dump (net/sched/sch_api.c:2326) taprio_walk (net/sched/sch_taprio.c:2514) tc_dump_tclass_qdisc (net/sched/sch_api.c:2352) tc_dump_tclass_root (net/sched/sch_api.c:2370) tc_dump_tclass (net/sched/sch_api.c:2431) rtnl_dumpit (net/core/rtnetlink.c:6864) netlink_dump (net/netlink/af_netlink.c:2325) rtnetlink_rcv_msg (net/core/rtnetlink.c:6959) netlink_rcv_skb (net/netlink/af_netlink.c:2550) </TASK> Dies wird behoben, indem &noop_qdisc verwendet wird, wenn new NULL ist, in taprio_graft(), ein häufiger Musteransatz, der von anderen QDISCs (z. B., multiq_graft()) genutzt wird, um sicherzustellen, dass die q->qdiscs[]-Slots niemals NULL sind. Dies macht Steuerungsflächen-Abdruckpfade sicher ohne individuelle NULL-Überprüfungen. Da die Datentransportwege (taprio_enqueue und taprio_dequeue_from_txq) zuvor explizite NULL-Schutzmechanismen hatten, die das Paket sauber fallen ließen/sprangen, aktualisieren Sie diese Überprüfungen, um auf &noop_qdisc anstelle von NULL zu testen. Ohne dies würden Pakete taprio_enqueue_one() erreichen, das die qlen und den Backlog des Wurzel-QDISC erhöht, bevor es das Kind-Enqueue aufruft; noop_qdisc lässt das Paket fallen, aber diese Zähler werden nie zurückgesetzt, was dauerhaft die Statistiken des Wurzel-QDISC aufbläht. Nach dieser Änderung kann *old ein gültiges QDISC, NULL oder &noop_qdisc sein. Rufen Sie qdisc_put(*old) nur im ersten Fall auf, um zu vermeiden, den Refcount von noop_qdisc zu verringern, der nie erhöht wurde.