CVE-2026-43284

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été corrigée : xfrm: esp: éviter le déchiffrement en place sur les frags d'un skb partagé. MSG_SPLICE_PAGES peut attacher des pages d'un tube directement à un skb. TCP marque ces skb avec SKBFL_SHARED_FRAG après skb_splice_from_iter(), afin que les chemins ultérieurs qui peuvent modifier les données du paquet puissent d'abord en faire une copie privée. Les chemins d'ajout de datagrammes IPv4/IPv6 ne définissaient pas ce drapeau lors de l'épissure de pages dans des skb UDP. Cela laisse un paquet ESP-dans-UDP fabriqué à partir de pages partagées d'un tube ressembler à un skb non linéaire ordinaire non cloné. L'entrée ESP emprunte alors le chemin rapide sans COW pour les skb non clonés sans frag_list et déchiffre en place des données qui ne sont pas détenues en propre par le skb. Marquer les frags d'épissure de datagrammes IPv4/IPv6 avec SKBFL_SHARED_FRAG, comme TCP. Faire également en sorte que l'entrée ESP retombe sur skb_cow_data() lorsque le drapeau est présent, afin que ESP ne déchiffre pas en place des frags adossés à des ressources externes. Les frags privés non linéaires de skb continuent d'utiliser le chemin rapide existant. Ceci ne modifie volontairement pas la sortie ESP. Dans esp_output_head(), le chemin qui ajoute la queue ESP à la tailroom existante du skb sans appeler skb_cow_data() n'est pas accessible pour les skb non linéaires : skb_tailroom() renvoie zéro lorsque skb->data_len est non nul, alors que tailen ESP est positif. Ainsi, la sortie ESP utilisera soit le chemin distinct de frag de destination, soit retombera sur skb_cow_data().

Sources