CVE-2026-43501

Резюме

В ядре Linux устранена следующая уязвимость: ipv6: rpl: резервировать headroom mac_len, когда пережатый SRH увеличивается. Функция ipv6_rpl_srh_rcv() декомпрессирует заголовок источника маршрутизации RFC 6554, подставляет следующий сегмент в ipv6_hdr->daddr, повторно сжимает заголовок, затем удаляет старый заголовок и возвращает обратно новый вместе с IPv6-заголовком. Повторно сжатый заголовок может быть больше полученного, если подмена уменьшает длину общего префикса, который сегменты разделяют с daddr (CmprI=0, CmprE>0, seg[0][0] != daddr[0] даёт максимум +8 байт). Вызов pskb_expand_head() был ограничен условием segments_left == 0, поэтому на более ранних сегментах операция push расходовала непроверенный запас (headroom). Как только skb_push() оставляет перед data меньше, чем skb->mac_len байт, вызов skb_mac_header_rebuild(): skb_set_mac_header(skb, -skb->mac_len); сохранит (data - head) - mac_len в поле u16 mac_header, которое при этом заворачивается до ~65530, и последующий memmove() записывает mac_len байт примерно на 64 КиБ за пределы skb->head. Один пакет AF_INET6/SOCK_RAW/IPV6_HDRINCL через lo с двухсегментным SRH типа 3 (CmprI=0, CmprE=15) достигает headroom 8 после одного прохода; KASAN сообщает о внебуферной записи (OOB) размером 14 байт в ipv6_rthdr_rcv. Исправление заключается в расширении head, когда оставшегося места меньше, чем размер push плюс mac_len, и в запросе дополнительного объёма, чтобы перестроенный MAC-заголовок затем поместился.

• cybermeowfia-termuxЭксплойт

  Инструмент для повышения привилегий в Termux и управления root-доступом - CVE-2026-43501