CVE-2026-43284

ملخص

في نواة لينكس، تم حلّ الثغرة الأمنية التالية: xfrm: esp: تجنّب فك التشفير الموضعي على أجزاء skb المشتركة يستطيع MSG_SPLICE_PAGES إرفاق صفحات من أنبوب (pipe) مباشرةً بـ skb. تضع TCP علامة SKBFL_SHARED_FRAG على هذه الـ skbs بعد استدعاء skb_splice_from_iter()، بحيث يمكن للمسارات اللاحقة التي قد تعدّل بيانات الحزمة أن تصنع نسخة خاصة أولًا. ولم تكن مسارات إلحاق مخططات البيانات في IPv4/IPv6 تعيّن هذه العلامة عند وصل الصفحات في UDP skbs. وهذا يترك حزمة ESP-in-UDP مصنوعة من صفحات أنبوب مشتركة تبدو وكأنها skb غير خطية (nonlinear) عادية غير مستنسخة. عندها يسلك إدخال ESP المسار السريع بدون COW للـ skbs غير المستنسخة التي لا تحتوي على frag_list، ويفك تشفير البيانات موضعيًا فوق بيانات لا يملكها الـ skb بشكل خاص. اضبط أجزاء وصل مخططات بيانات IPv4/IPv6 بعلامة SKBFL_SHARED_FRAG، على غرار TCP. واجعل إدخال ESP يتراجع إلى skb_cow_data() عند وجود العلامة، حتى لا يقوم ESP بفك تشفير الأجزاء المدعومة خارجيًا موضعيًا. وما تزال أجزاء الـ skb غير الخطية الخاصة تستخدم المسار السريع الحالي. لا يغيّر هذا عمدًا مخرجات ESP. في esp_output_head()، المسار الذي يلحق مُلحَق (trailer) ESP بمساحة الذيل (tailroom) الموجودة في الـ skb دون استدعاء skb_cow_data() لا يمكن الوصول إليه بالنسبة إلى الـ skbs غير الخطية: تُرجع skb_tailroom() صفرًا عندما يكون skb->data_len غير صفري، بينما تكون قيمة ESP tailen موجبة. وبالتالي ستستخدم مخرجات ESP إما مسار destination-frag المنفصل أو تتراجع إلى skb_cow_data().

المصادر