CVE-2026-43501

Resumo

No kernel Linux, a seguinte vulnerabilidade foi resolvida: ipv6: rpl: reserve headroom de mac_len quando o SRH recompactado cresce ipv6_rpl_srh_rcv() descompacta um Cabeçalho de Roteamento de Origem RFC 6554, grava o próximo segmento em ipv6_hdr->daddr, recompacta e, em seguida, faz pull do cabeçalho antigo e push do novo, além do cabeçalho IPv6. O cabeçalho recompactado pode ser maior que o recebido quando a troca reduz o comprimento do prefixo comum que os segmentos compartilham com daddr (CmprI=0, CmprE>0, seg[0][0] != daddr[0] resulta no máximo de +8 bytes). pskb_expand_head() era condicionado a segments_left == 0, portanto, em segmentos anteriores, o push consumia headroom sem verificação. Quando skb_push() deixa menos de skb->mac_len bytes à frente de data, a chamada de skb_mac_header_rebuild() para: skb_set_mac_header(skb, -skb->mac_len); armazenará (data - head) - mac_len no campo u16 mac_header, que faz wrap para ~65530, e o memmove() seguinte grava mac_len bytes ~64KiB além de skb->head. Um único pacote AF_INET6/SOCK_RAW/IPV6_HDRINCL sobre lo, com um SRH tipo 3 de dois segmentos (CmprI=0, CmprE=15), atinge headroom 8 após uma passagem; o KASAN relata uma gravação OOB de 14 bytes em ipv6_rthdr_rcv. Corrija isso expandindo o head sempre que o espaço restante for menor que o tamanho do push mais mac_len, e solicite esse excedente para que o cabeçalho MAC reconstruído caiba posteriormente.

• cybermeowfia-termuxExploit

  Ferramenta de Escalação de Privilégios do Termux & Gerenciador Root - CVE-2026-43501