CVE-2026-81000

概要

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: tun: 受信ヘッドルームを制限する。tun_get_user() は tun->align を skb のヘッドルームとして、またパケットデータをどれだけリニアに保つかを選択する際の両方に使用します。OVS は、別のポートから過大なヘッドルーム要求を TUN または TAP に伝播させることがあります。align が 1 ページの skb ヘッド内の使用可能な領域より大きい場合、SKB_MAX_HEAD(align) がアンダーフローし、その結果が good_linear に格納されると負の値になります。この値は後に size_t 型の linear 変数に代入される際にラップアラウンドし、tun_alloc_skb() が skb->data を割り当てられたヘッドの外側に配置する可能性があります。TUN によって格納されるヘッドルームを、1 ページの skb ヘッドの予算と、最大の非センチネル 16 ビット skb ヘッダーオフセットに制限してください。raw TUN 用に 1 リニアバイト、TAP 用に完全な Ethernet ヘッダー（NET_IP_ALIGN を含む）を残してください。また、raw TUN プロトコルバイトと TAP Ethernet ヘッダーにアクセスする前にそれらを pull して、他の割り当てパスから供給される非リニア skb に対してもこれらのチェックが安全であるようにしてください。

• CVE-2026-81000PoC

  CVE-2026-81000（TUNderflow）の研究リポジトリ。LinuxカーネルのTUN/TAP受信ヘッドルーム整数アンダーフローによりローカル権限昇格が可能となる脆弱性で、PoC、根本原因分析、ラボ環境構築を含む。

• TUNderflowPoC

  CVE-2026-81000のPython PoC。TUN/OVSの境界外書き込みとpipe_bufferフラグ操作によりroot権限を取得するLinuxカーネルのローカル権限昇格。

• CVE-2026-81000PoC