CVE-2026-81000（TUNderflow）技术分析

deadbeef
deadbeef

deadbeef

2026年9月22日 09:59
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞原理

漏洞出在 net/tun.c 的 tun_get_user()：

TUN/TAP 用 tun->align 同时干两件事——既充当 skb 头空间（headroom），又用来计算\"多少报文数据保持线性\"。当 align 大于单页 skb head 可用空间时：

1. SKB_MAX_HEAD(align) 发生整数下溢，得到负数并被存进 good_linear；
2. 随后赋给 size_t linear 时发生无符号回绕，变成一个很大的正数；
3. tun_alloc_skb() 据此把 skb->data 放到分配头区之外，形成越界写 / 越界访问。

典型触发链：Open vSwitch 把某个端口的\"超大接收 headroom\"传播到 TUN/TAP 端口 → 内核按该 align 计算线性区 → 下溢回绕 → skb 数据越界。

CWE 可归为 CWE-191（整数下溢），进而导致 CWE-787（越界写）。

二、利用条件

• 本地权限：向量是本地（AV:L），上游要求低权限（PR:L）；Red Hat 自家评分把复杂度调成 High、基础分 7，与上游 7.8 并不完全一致。
• 能碰到 TUN/TAP 路径：需要可创建/配置 TUN 或 TAP 设备，或通过 OVS 把超大 headroom 引到 TUN/TAP。纯不碰虚拟网、不装 OVS 环境基本打不到。
• headroom 可控 / 被传播：普通场景很难自行传递巨大 align；OVS 跨端口传播 oversized headroom 是已知触发前提。容器 / 虚拟化中若允许工作负载配置 OVS+TAP，风险更高。
• 实际危害层级：官方描述只到\"内存损坏、skb->data 越界\"，可直接导致内核崩溃 / DoS；若配合内核堆布局控制，第三方分析认为可进一步提权，但公开可靠的提权利用还需以实际 PoC 验证为准。2026-09 有安全媒体称研究者公开了含本 CVE 的 Linux 网络漏洞 PoC，可本地提权至 root，但能否对 81000 给出稳定提权利用，仍以原始公告和发行版复评为准。
• 非远程：不通过公网普通数据包直接触发；没有 TUN/TAP + OVS headroom 传播条件基本不可达。

三、影响范围

按上游 CNA 版本状态：

• 引入提交：eaea34b23c46bf17b4a5638be69ab3561854f34b（汇总类资料称对应 4.6 起相关逻辑）
• 4.6 之前：unaffected
• 修复 / 不受影响区间（上游列明）：≥6.12.109 的 6.12.x、≥6.18.50 的 6.18.x、≥7.2.4 的 7.2.x、7.3-rc1 起；另通过多个 stable backport 提交修复
• 第三方汇总还列出更老稳定分支修复版本如：5.10.270、5.15.221、6.1.188、6.6.157，但是否进入你所用发行版内核还要看发行版公告

发行商状态：

• Red Hat：RHEL 7/8/9/10 的 kernel、kernel-rt 均 Affected；RHEL 6 Not affected；OpenShift 4 相关 rhel-coreos-8 组件 Affected；具体 ERRATA 按产品发布。
• SUSE：整体 Important，CVSS 3.1 7.8，另给 CVSS 4.0 8.5；公告状态据页面显示为 Pending / 按产品评估。
• Oracle Linux：OL7/8/9/10 的 UEK 相关 errata（如 ELSA-2026-500328/329/330）已出。
• 其他：Amazon AL2023 livepatch、openEuler 等也有跟进，按各自内核包版本对号。

四、复现

复现环境：

Linux ubuntu24-04 6.17.0-35-generic #35~24.04.1-Ubuntu SMP PREEMPT\_DYNAMIC Tue May 26 19:30:42 UTC 2 x86\_64 GNU/Linux