CVE-2026-43284

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: xfrm: esp: In-Place-Entschlüsselung bei gemeinsam genutzten skb-Fragmenten vermeiden. MSG_SPLICE_PAGES kann Seiten aus einer Pipe direkt an ein skb anhängen. TCP markiert solche skbs nach skb_splice_from_iter() mit SKBFL_SHARED_FRAG, damit spätere Pfade, die Paketdaten verändern könnten, zunächst eine private Kopie erstellen können. Die IPv4/IPv6-Datagramm-Anhängepfade setzten dieses Flag nicht, wenn Seiten in UDP-skbs gespleißt wurden. Dadurch sieht ein aus gemeinsam genutzten Pipe-Seiten erzeugtes ESP-in-UDP-Paket wie ein gewöhnliches nicht geklontes nichtlineares skb aus. Der ESP-Eingang nimmt dann den No-COW-Schnellpfad für nicht geklonte skbs ohne frag_list und entschlüsselt an Ort und Stelle Daten, die dem skb nicht privat gehören. Markiere IPv4/IPv6-Datagramm-Splice-Fragmente mit SKBFL_SHARED_FRAG, analog zu TCP. Lasse den ESP-Eingang außerdem auf skb_cow_data() zurückfallen, wenn das Flag gesetzt ist, damit ESP nicht extern hinterlegte Fragmente an Ort und Stelle entschlüsselt. Private nichtlineare skb-Fragmente verwenden weiterhin den vorhandenen Schnellpfad. Dies ändert bewusst nicht den ESP-Ausgang. In esp_output_head() ist der Pfad, der den ESP-Trailer an den vorhandenen skb-Tailroom anhängt, ohne skb_cow_data() aufzurufen, für nichtlineare skbs nicht erreichbar: skb_tailroom() gibt Null zurück, wenn skb->data_len ungleich Null ist, während ESP tailen positiv ist. Daher verwendet der ESP-Ausgang entweder den separaten Ziel-Fragment-Pfad oder fällt auf skb_cow_data() zurück.

Quellen