CVE-2026-64531

Dans le noyau Linux, la vulnérabilité suivante a été résolue : Open vSwitch stocke les actions de flux générées sous forme de nlattrs, dont le champ nla_len est u16. Le commit a1e64addf3ff (« net: openvswitch: remove misbehaving actions length check ») a permis au flux total sw_flow_actions de dépasser 64 KiB, ce qui est valide, mais a également supprimé la dernière protection empêchant un attribut d'action imbriqué généré de dépasser U16_MAX. Un conteneur généré surdimensionné peut donc être fermé avec un nla_len tronqué. Un dump ou un démontage ultérieur parcourt alors un flux structurellement différent de celui qui a été validé. En particulier, une action CLONE/CT imbriquée surdimensionnée peut amener les octets suivants du flux généré à être interprétés comme des actions indépendantes. Conserver le comportement de flux d'actions total plus grand, mais faire en sorte que la fermeture d'action imbriquée rejette les conteneurs générés qui ne tiennent pas dans nla_len, et propager l'erreur à tous les appelants. Pour les constructeurs récursifs SAMPLE, CLONE, DEC_TTL et CHECK_PKT_LEN, tronquer les fins de listes d'actions détenant des ressources dans l'ordre inverse de construction avant de supprimer les wrappers défaillants, afin que les ressources copiées dans les fins rejetées soient libérées avant que les wrappers ne soient retirés. La plupart des wrappers externes défaillants sont supprimés en tronquant actions_len après que les ressources enfants ont été libérées. CHECK_PKT_LEN tronque également son parent après que les ressources de branche ont été libérées. Les échecs de fermeture SET/TUNNEL défont directement leur propriété tun_dst connue, et SET_TO_MASKED n'a pas de propriété externe et tronque en cas d'échec de fermeture.