CVE-2026-31429

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été résolue : net: skb: correction de la libération inter-caches de la tête skb allouée par KFENCE SKB_SMALL_HEAD_CACHE_SIZE est intentionnellement défini sur une valeur qui n'est pas une puissance de 2 (par exemple 704 sur x86_64) afin d'éviter les collisions avec les tailles de buckets kmalloc génériques. Cela garantit que skb_kfree_head() peut utiliser de manière fiable skb_end_offset pour distinguer les têtes skb allouées depuis skb_small_head_cache des caches kmalloc génériques. Cependant, lorsque KFENCE est activé, kfence_ksize() renvoie la taille d'allocation exacte demandée au lieu de la taille du bucket de slab. Si un appelant (par exemple bpf_test_init) alloue les données de tête skb via kzalloc() et que la taille demandée se trouve être égale à SKB_SMALL_HEAD_CACHE_SIZE, alors slab_build_skb() -> ksize() renvoie cette valeur exacte. Après soustraction des frais généraux de skb_shared_info, skb_end_offset finit par correspondre à SKB_SMALL_HEAD_HEADROOM, ce qui amène skb_kfree_head() à libérer incorrectement l'objet vers skb_small_head_cache au lieu de le renvoyer au cache kmalloc d'origine, entraînant une libération inter-caches de slab : kmem_cache_free(skbuff_small_head): Wrong slab cache. Expected skbuff_small_head but got kmalloc-1k Corrigez cela en appelant toujours kfree(head) dans skb_kfree_head(). Cela maintient le chemin de libération générique et évite une mauvaise classification spécifique à l'allocateur pour les objets KFENCE.

• CVE-2026-31429-POCPoC

  POC pour CVE-2026-31429 (Linux Kernel >= 6.3 < 6.12.82 Slab Cross-Cache Confusion) - vulnérabilité découverte par Antonius - w1sdom - bluedragonsec.com