CVE-2026-43501

Resumen

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta: ipv6: rpl: reservar espacio libre (headroom) para mac_len cuando el SRH recomprimido crece ipv6_rpl_srh_rcv() descomprime un encabezado de enrutamiento de origen (Source Routing Header) RFC 6554, intercambia el siguiente segmento en ipv6_hdr->daddr, recomprime, luego extrae el encabezado antiguo y empuja el nuevo más el encabezado IPv6 de vuelta. El encabezado recomprimido puede ser más grande que el recibido cuando el intercambio reduce la longitud del prefijo común que los segmentos comparten con daddr (CmprI=0, CmprE>0, seg[0][0] != daddr[0] da un máximo de +8 bytes). pskb_expand_head() estaba condicionado a segments_left == 0, así que en segmentos anteriores el empuje consumió espacio libre (headroom) sin verificar. Una vez que skb_push() deja menos de skb->mac_len bytes delante de los datos, la llamada de skb_mac_header_rebuild() a: skb_set_mac_header(skb, -skb->mac_len); almacenará (data - head) - mac_len en el campo u16 mac_header, que se ajusta a ~65530, y el siguiente memmove() escribe mac_len bytes ~64KiB más allá de skb->head. Un único paquete AF_INET6/SOCK_RAW/IPV6_HDRINCL sobre lo con un SRH tipo 3 de dos segmentos (CmprI=0, CmprE=15) alcanza un espacio libre (headroom) de 8 después de una pasada; KASAN informa de una escritura OOB de 14 bytes en ipv6_rthdr_rcv. Solucione esto expandiendo el encabezado siempre que el espacio restante sea menor que el tamaño del empuje más mac_len, y solicite esa cantidad extra para que el encabezado MAC reconstruido quepa después.

Fuentes

• cybermeowfia-termuxExploit

  Herramienta de escalada de privilegios y administrador de root para Termux - CVE-2026-43501