CVE-2026-43284

xfrm: esp: tránh giải mã tại chỗ trên các mảnh skb chia sẻ

Trong Linux kernel, đã giải quyết được vấn đề sau: xfrm: esp: tránh giải mã tại chỗ trên các mảnh skb chia sẻ MSG_SPLICE_PAGES có thể gắn các trang từ ống trực tiếp vào skb. TCP đánh dấu các skb như vậy với SKBFL_SHARED_FRAG sau khi skb_splice_from_iter(), do đó các đường dẫn sau này có thể thay đổi dữ liệu gói trước khi tạo một bản sao riêng. Các đường dẫn thêm datagram IPv4/IPv6 khi gắn trang vào UDP skb không đặt cờ này. Điều này để lại một gói ESP trong UDP được tạo từ các trang ống chia sẻ trông giống như một skb không được sao chép không tuyến tính. ESP input sau đó đi theo đường dẫn nhanh không cần copy-on-write (COW) cho skb không tuyến tính không có frag_list và giải mã tại chỗ trên dữ liệu không được sở hữu riêng bởi skb. Đánh dấu các mảnh splice datagram IPv4/IPv6 với SKBFL_SHARED_FRAG, giống như TCP. Cũng làm ESP input chuyển sang skb_cow_data() khi cờ này có mặt, để ESP không giải mã các mảnh được hỗ trợ bên ngoài tại chỗ. Các mảnh nonlinear skb riêng vẫn sử dụng đường dẫn nhanh hiện tại. Điều này không thay đổi ESP output. Trong esp_output_head(), đường dẫn gắn phần phụ của ESP vào phần đuôi của skb hiện tại mà không gọi skb_cow_data() không thể đạt được cho các skb không tuyến tính: skb_tailroom() trả về 0 khi skb->data_len không phải là 0, trong khi ESP tailen là dương. Do đó, ESP output sẽ hoặc sử dụng đường dẫn riêng biệt đến địa chỉ-frag hoặc chuyển sang skb_cow_data().

Bạn tra cứu quá nhanh — thử lại sau 5 giây.

CVSS (NVD)

8.8 · HIGH

Loại lỗi (CWE)

CWE-123

EPSS (FIRST)

94.19% khả năng bị khai thác trong 30 ngày