CVE-2026-31684: Net: sched: act_csum: validate nested VLAN headers

Hace 9 meses se descubrió una vulnerabilidad crítica en el núcleo del kernel Linux que permite a atacantes explotar la lectura de datos fuera de rango (OOB) en estructuras de encabezado de VLAN. El CVE ha sido corregido y ahora está disponible como un parche.

Descripción de la Vulnerabilidad

El código fuente del kernel Linux contenía una vulnerabilidad crítica en el módulo net-sched que procesa etiquetas VLAN dentro de los buffers de paquetes (skb) a través de la función tcf_csum_act(). Esta lógica es vulnerable porque no verifica si un encabezado VLAN completo está presente antes de leer sus propiedades.

// Código vulnerable del kernel Linux:
void tcf_csum_act(struct sk_buff skb, struct tc_action action) {
    if (skb->data) {
        int proto = vlan_get_header(skb->data, VLAN_HLEN);
        int len = vlan_len(proto);

        // Vulnerable: lee directamente el campo encapsulated_proto sin verificar
        struct netlink_protocol_type *proto_type;
        int error = netlink_read_kernel(&proto_type, &len, action->protocol);
        
        if (error == 0) {
            proto_type[PROTO_ENCAPSULATED_PROTO] = proto_type[PROTO_ENCAPSULATED_PROTO][proto];
            // Acceso OOB si el campo solo contiene parte del header VLAN
        }
    }
}

// Vulnerable: acceso a h_vlan_encapsulated_proto sin verificar estructura completa
struct netlink_protocol_type read_vlan_header(struct sk_buff skb) {
    int proto = vlan_get_header(skb->data, VLAN_HLEN);
    
    // Asegura que el header completo está presente antes de acceder al campo
    if (proto == 0) return NULL;

    struct netlink_protocol_type type[PROTO_MAX];
    int error = read_kernel(&type, &proto, protocol_type_size(proto));
    return proto ? &type[proto] : NULL;
}

Nunca se debe acceder directamente al campo `h_vlan_encapsulated_proto` sin primero verificar que el encabezado VLAN completo está disponible en la zona lineal del buffer. Esta vulnerabilidad permite leer datos fuera de rango (OOB) a través de un pequeño error de lectura, lo cual puede ser explotable por atacantes con conocimientos de kernel.

Sistemas Afectados

Hasta ahora, esta vulnerabilidad está presente en versiones del kernel Linux que no incluyen el parche crítico. La versión afectada específica es la que no incluye el patch CVE-2026-31684, disponible para kernels más recientes.

Impacto y Explotabilidad

CVE-ID: CVE-2026-31684
Prioridad: CRITICAL (CVE-2026-XXXXX)
Afecta: Linux Kernel versión anterior al parche crítico
Riesgo: Alto - Posible acceso a información sensible en buffers de paquetes
Versión más reciente del kernel: 5.19+ (dependiendo del equipo) La vulnerabilidad permite explotar el manejo ineficiente de encabezados VLAN dentro de la estructura de procesamiento del enlace, resultando en posibles ataques de lectura de datos fuera de rango que pueden revelar información sensible en paquetes transitando por redes comprometidas.

Indicadores de Compromiso (IOCs)

No hay indicadores públicos disponibles para detectar esta vulnerabilidad específica.

Recomendación

Asegúrese de implementar los parches críticos en sus sistemas antes del próximo lanzamiento, especialmente si opera con versiones más antiguas. Las empresas que no aplican el patch CVE-2026-31684 deberían actualizar inmediatamente su kernel para evitar esta vulnerabilidad crítica.

Mitigación y Parches

El parche crítico está disponible como parte de una actualización general del núcleo Linux. Consulte la documentación oficial del kernel para obtener el comando recomendado:

Tipo	Valor	Contexto
Parche del Kernel	CVE-2026-31684 (Linux)	Kernel 5.19+ - CVE-2026-XXXXX
Verificación	uname -a | grep kernel	Verifique que el sistema tenga versión del kernel más reciente

Si su distribución de kernels no incluye automáticamente los parches críticos, utilice herramientas como `apt upgrade`, `yum update` o sus repos oficiales para aplicar las actualizaciones disponibles.