Linux内核严重漏洞CVE-2026-80590：GSO状态残留可致系统崩溃

🔓 High 漏洞利用

Linux内核的IP分片重组逻辑未能清除分片上的GSO元数据，导致重组后的skb被误判为GSO数据包，在后续处理中触发skb_segment()的BUG_ON断言，造成内核崩溃。本地用户可通过tun/tap或AF_PACKET接口发送特制的IPv4/IPv6分片，在自身用户命名空间内即可触发拒绝服务条件。

来源：NVD-Latest | 2026-08-28 | 原文链接

🔍 关键发现

• 分片进入重组队列时未清除GSO字段，导致inet_frag_reasm_prepare/Finish保留头片段上的gso_size/gso_type等元数据。
• skb_segment()在遍历frag_list时因输入不符合GRO结构而触发BUG_ON，导致内核panic，且中断上下文下直接系统崩溃。
• 漏洞自commit f43798c27684引入，影响IPv4、IPv6、nf_conntrack_reasm及6lowpan等所有共享inet_frag_queue_insert()的重组路径。

⚔️ 攻击链分析

1. 攻击者在用户命名空间内创建tun/tap设备或使用AF_PACKET套接字，并启用虚拟net header（PACKET_VNET_HDR）。 2. 构造IP分片，每个分片的virtio_net_hdr中设置GSO标记，并将gso_size设为与片段线性头部长度相同以绕过现有检查。 3. 将恶意分片写入tap设备，内核将其送入分片重组队列，重组后skb保留GSO状态。 4. 当重组后的数据包进入本地投递或转发路径（如UDP接收处理）时，skb_segment()触发BUG_ON，导致内核panic。

🚩 失陷指标 (IOC)

• 包含非零GSO元数据的IPv4/IPv6分片数据包
• 通过tun/tap接口发送的带有PACKET_VNET_HDR且gso_type与frag_off不匹配的流量

🛡️ 缓解建议

• ✅ 及时应用Linux内核官方补丁，该补丁在inet_frag_queue_insert()中重置每个分片的GSO字段。
• ✅ 限制非特权用户创建用户命名空间或访问tun/tap设备的权限，降低本地攻击面。
• ✅ 对于云环境或虚拟化平台，确保宿主机和Guest内核均升级至修复版本，并谨慎处理来自Guest的virtio_net_hdr元数据。

涉及漏洞：["CVE-2026-80590"]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。