CVE-2026-43284

Resumen

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: xfrm: esp: evitar el descifrado in situ en frags compartidos de skb MSG_SPLICE_PAGES puede adjuntar páginas de una tubería directamente a un skb. TCP marca estos skbs con SKBFL_SHARED_FRAG después de skb_splice_from_iter(), de modo que las rutas posteriores que puedan modificar los datos del paquete puedan primero hacer una copia privada. Las rutas de adición de datagramas IPv4/IPv6 no establecían esta marca al empalmar páginas en skbs UDP. Eso hace que un paquete ESP-en-UDP formado a partir de páginas de tubería compartidas parezca un skb no lineal ordinario sin clonar. La entrada ESP toma entonces la ruta rápida sin COW para skbs sin clonar sin frag_list y descifra in situ datos que el skb no posee de forma privada. Marque los frags de empalme de datagramas IPv4/IPv6 con SKBFL_SHARED_FRAG, como hace TCP. Haga también que la entrada ESP recurra a skb_cow_data() cuando la marca esté presente, para que ESP no descifre in situ los frags respaldados externamente. Los frags privados de skbs no lineales siguen usando la ruta rápida existente. Esto no cambia de forma intencionada la salida de ESP. En esp_output_head(), la ruta que añade el tráiler ESP al tailroom existente del skb sin llamar a skb_cow_data() no es alcanzable para skbs no lineales: skb_tailroom() devuelve cero cuando skb->data_len es distinto de cero, mientras que el tailen de ESP es positivo. Por lo tanto, la salida de ESP usará la ruta separada de frag de destino o recurrirá a skb_cow_data().

Fuentes