No kernel Linux, a seguinte vulnerabilidade foi resolvida. net/sched: act_gact, act_police: intervalo verifica a ação de controle de retalho O intervalo tcf_action_check_ctrlact() verifica a ação de controle principal. if (!opcode) ret = ação > TC_ACT_VALUE_MAX? - EINVAL: 0; TC_ACT_VALUE_MAX é TC_ACT_TRAP, por isso os veredictos internos do kernel acima não podem ser definidos dessa forma. Mas act_gact e act_police cada um carregam uma segunda ação de controle independente fornecida pelo espaço de usuário que nunca chega ao ajudante - TCA_GACT_PROB.paction e TCA_POLICE_RESULT. Ambos rejeitam apenas TC_ ACT_ GOTO_ CHAIN, assim qualquer outro valor é armazenado e retornado literalmente da ação.
Em particular, o espaço de usuário pode armazenar TC_ACT_CONSUMED, que é TC_ACT_VALUE_MAX + 1 e não faz parte do intervalo de valores UAPI deliberadamente. Esse veredicto diz a cada chamada que a ação tomou posse do skb, então ninguém o liberta: sch_handle_ingress(), sch_handle_egress() e tcf_qevent_handle() todos deliberadamente pulam o livre para ele. O resultado é um sk_buff vazado, mais o seu buffer de dados por pacote que atravessa o filtro, sem limites, para todo o tráfego na cadeia, incluindo pacotes gerados pelo kernel. Ambos são trivialmente deterministas. act_gact pinces tcfg_pval para >= 1, assim com pval = 1 gact_determ() retorna o retalho para cada pacote. act_police não tem taxa obrigatória, por isso taxa = 0 deixa tcfp_mtu = ~ 0 e tcf_police_mtu_check() sempre passa.
TC_ACT_CONSUMED foi adicionado pelo commit 720 f 22 alimentado 81 b ("net: sched: refactor reinserta ação"), após ambos os guardas da cadeia- goto terem sido escritos: commit 9469 f 375 ab 09 ("net/ sched: act_ gact: rejeite a 'goto chain' na ação de controle de retalho") e commit c 08 f 5 ed 5 d 625 ("net/sched: act_police: desallow 'goto chain' na ação de controle de retalho"). Nenhuma das guardas foi ampliada quando o novo veredicto apareceu. Faça o teste de alcance existente fora do tcf_action_check_ctrlact() como tcf_action_valid() e aplique- o a ambos os retalhos. O ajudante não pode chamar o tcf_action_check_ctrlact() diretamente porque isso também aloca uma goto_chain, que é exatamente o que esses dois sites não devem fazer.
Reproduzido em v 7.2 -rc 6: kmemleak relata um vazamento 232 -byte skbuff_head_cache objeto mais seu 704 -byte buffer de dados por pacote. Com este patch ambas as configurações são rejeitadas com o -EINVAL e kmemleak não relata nenhuma. Registro de aconselhamento: GHSA-x 4 gp- 7 h 95 - w 6 vp. Identificadores relacionados: CVE- 2026 - 74620.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 22 T 18: 30: 27.000 Z e lista a sua última modificação como 2026 - 08 - 23 T 15: 33: 03.000 Z. Severidade: não classificado. Nenhum vetor de pontuação está listado no registro.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: nenhum identificador CWE está listado. O registro contém 9 suporte de referências nestes tipos: AVISO, WEB.