CVE-2026-81000

Resumen

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: tun: limitar el headroom de recepción. tun_get_user() utiliza tun->align tanto como headroom del skb como al elegir cuántos datos del paquete mantener lineales. OVS puede propagar una solicitud de headroom sobredimensionada desde otro puerto a TUN o TAP. Cuando align es mayor que el espacio utilizable en la cabeza de un skb de una sola página, SKB_MAX_HEAD(align) sufre un underflow y el resultado se vuelve negativo al almacenarse en good_linear. Ese valor posteriormente se desborda al asignarse a la variable linear de tipo size_t, y tun_alloc_skb() puede colocar skb->data fuera de la cabeza asignada. Limitar el headroom almacenado por TUN al presupuesto de cabeza de skb de una sola página y al mayor desplazamiento de cabecera skb de 16 bits que no sea sentinel. Dejar un byte lineal para TUN en bruto y una cabecera Ethernet completa para TAP, incluido NET_IP_ALIGN. Además, extraer el byte de protocolo de TUN en bruto y la cabecera Ethernet de TAP antes de acceder a ellos, para que estas comprobaciones sigan siendo seguras para skbs no lineales proporcionados por otras rutas de asignación.

• CVE-2026-81000PoC

  Repositorio de investigación para CVE-2026-81000 (TUNderflow), un desbordamiento negativo de enteros en el headroom de recepción de TUN/TAP del kernel de Linux que permite la escalada local de privilegios, con PoC, análisis de causa raíz y configuración de laboratorio.

• TUNderflow