CVE-2026-31429

Riepilogo

Nel kernel Linux è stata risolta la seguente vulnerabilità: net: skb: corretta la free cross-cache della testa skb allocata con KFENCE SKB_SMALL_HEAD_CACHE_SIZE è impostato intenzionalmente a un valore non potenza di 2 (ad es. 704 su x86_64) per evitare collisioni con le dimensioni generiche dei bucket kmalloc. Ciò garantisce che skb_kfree_head() possa utilizzare in modo affidabile skb_end_offset per distinguere le teste skb allocate da skb_small_head_cache rispetto alle cache kmalloc generiche. Tuttavia, quando KFENCE è abilitato, kfence_ksize() restituisce la dimensione di allocazione esatta richiesta invece della dimensione del bucket slab. Se un chiamante (ad es. bpf_test_init) alloca i dati della testa skb tramite kzalloc() e la dimensione richiesta coincide con SKB_SMALL_HEAD_CACHE_SIZE, allora slab_build_skb() -> ksize() restituisce quel valore esatto. Dopo aver sottratto l'overhead di skb_shared_info, skb_end_offset finisce per corrispondere a SKB_SMALL_HEAD_HEADROOM, causando a skb_kfree_head() di liberare erroneamente l'oggetto in skb_small_head_cache invece di riportarlo alla cache kmalloc originale, con conseguente free cross-cache dello slab: kmem_cache_free(skbuff_small_head): Wrong slab cache. Expected skbuff_small_head but got kmalloc-1k Correggere il problema chiamando sempre kfree(head) in skb_kfree_head(). Questo mantiene generico il percorso di free ed evita una classificazione errata specifica dell'allocatore per gli oggetti KFENCE.

• CVE-2026-31429-POCPoC

  POC per CVE-2026-31429 (Linux Kernel >= 6.3 < 6.12.82 Slab Cross-Cache Confusion) - vulnerabilità scoperta da Antonius - w1sdom - bluedragonsec.com