Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv6避免 ip6_datagram_send_ctl() 中的溢出 Yiming Qian 报告 <quote> 我认为在 IPv6 sendmsg ancrillary-data 路径中发现一个可本地触发的内核缺陷可通过 `skb_under_panic()`造成内核错误本地 DoS。核心问题是以下各项之间的不匹配 - 16 位长度的累积器“struct ipv6_txoptions::opt_flen”类型“__u16”和 - 指向 *last* 提供的目标选项标头的指针“opt->dst1opt” )提供了多种“IPV6_DSTOPTS”控制消息 (cmsgs) 时。 - “include/net/ipv6.h”- “struct ipv6_txoptions::opt_flen”为“__u16”可封装。第 291-307行尤其是 298- `net/ipv6/datagram.c:ip6_datagram_send_ctl()`- 接受重复的“IPV6_DSTOPTS”并累积到“opt_flen”中而不拒绝重复项。第 909-933行 - `net/ipv6/ip6_output.c:__ip6_append_data()`- 使用 `opt->opt_flen + opt->opt_nflen` 来计算标头大小/余量决策。第 1448-1466行尤其是 1463-1465] - `net/ipv6/ip6_output.c:__ip6_make_skb()`- 如果 `opt->opt_flen` 为非零则调用 `ipv6_push_frag_opts()`。
    第 1930-1934行 - `net/ipv6/exthdrs.c:ipv6_push_frag_opts()` / `ipv6_push_exthdr()` - 推送大小来自于 `ipv6_optlen(opt->dst1opt)`基于指向的标头。第 1179-1185 和 1206-1211行1.
    “opt_flen”是 16 位累加器 - “include/net/ipv6.h:298”定义“__u16 opt_flen” /* after fragment hdr */`。 2. “ip6_datagram_send_ctl()”接受*重复的*“IPV6_DSTOPTS”cmsgs 并在每次- 在“net/ipv6/datagram.c:909-933”中对于“IPV6_DSTOPTS”- 计算“len = ((hdr->hdrlen + 1) << 3);` - 它使用“ns_capable(net->user_ns, CAP_NET_RAW)”检查“CAP_NET_RAW”。第 922 行 - 随后执行 - `opt->opt_flen += len;`（第 927 行） - `opt->dst1opt = hdr;`（第 928 行） 此处没有重复拒绝 与旧的“IPV6_2292DSTOPTS”不同拒绝“net/ipv6/datagram.c:901-904”中重复项目的 ` 路径。如果提供了足够大的“IPV6_DSTOPTS”cmsgs“opt_flen”会封装而“dst1opt”仍指向一个大型2048 字节destination-options 标头。在随附的 PoC (`poc.c`) 中： - `hdrlen=255` => `len = 2048 的 32 cmsgs - `hdrlen=0` => `len = 2048 的 1 cmsg 8` - 总增量“32*2048 + 8 = 65544”因此“(__u16)opt_flen == 8”- 最后的 cmsg 为 2048 字节因此“dst1opt”指向一个 2048 字节的标头。 3. 传输路径使用封装的“opt_flen”标头- 在“net/ipv6/ip6_output.c:1463-1465”中- `headersize = sizeof(struct ipv6hdr) + (opt ? opt->opt_flen + opt- >opt_nflen0) + ...;` 由于使用封装的“opt_flen”，“headersize”/headroom 决策会低估之后的推送内容。 4. 在构建最终 skb 时实际推送长度来自“dst1opt”且不受封装的“opt_flen”限制 - 在“net/ipv6/ip6_output.c:1930-1934”中- `if (opt-> opt_flen) proto = ipv6_push_frag_opts(skb, opt, proto);` - 在“net/ipv6/exthdrs.c:1206-1211”中“ipv6_push_frag_opts()”通过“ipv6_push_exthdr()”推送“dst1opt”。- 在 “net/ipv6/exthdrs.c:1179-1184”中“ipv6_push_exthdr()”实现 - “skb_push(skb, ipv6_optlen(opt));” - “memcpy(h, opt, ipv6_optlen(opt));” ` 由于余量不足`skb_push()` 下溢并触发 `skb_under_panic()` -> `BUG()`- `net/core/skbuff.c:2669-2675`“skb_push()”调用“skb_under_panic() )`) - `net/core/skbuff.c:207-214` (`skb_panic()` 以 `BUG()` 结尾) - “IPV6_DSTOPTS” cmsg 路径需要目标 netns 用户命名空间中的“CAP_NET_RAW” ns_capable(net->user_ns, CAP_NET_RAW`)。- 根任务或任何具有“CAP_NET_RAW”的任务可在没有用户命名空间的情况下触发此问题。- 如果启用了无权限的用户命名空间则无权限的“uid=1000”用户便可触发此漏洞并且可创建 userns+netns 以获得命名空间的“CAP_NET_RAW”在随附的 PoC 中可执行此操作。- 本地拒绝服务内核缺陷/错误系统崩溃。 - ---truncated--- (CVE-2026-31415)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-31415

medium Nessus 插件 ID 306176

版本 1.10