CVE-2026-43284

Riepilogo

Nel kernel Linux è stata risolta la seguente vulnerabilità: xfrm: esp: evitare la decrittazione in-place su skb frags condivisi. MSG_SPLICE_PAGES può allegare pagine da una pipe direttamente a uno skb. TCP marca tali skb con SKBFL_SHARED_FRAG dopo skb_splice_from_iter(), così i percorsi successivi che possono modificare i dati dei pacchetti possono prima creare una copia privata. I percorsi di aggiunta dei datagrammi IPv4/IPv6 non impostavano questo flag quando univano pagine in skb UDP. Ciò lascia un pacchetto ESP-in-UDP creato da pagine di pipe condivise che sembra un normale skb non lineare non clonato. L'input ESP quindi prende il percorso rapido no-COW per skb non clonati senza frag_list e decritta in-place su dati che non sono di proprietà privata dello skb. Marcare i frag splice dei datagrammi IPv4/IPv6 con SKBFL_SHARED_FRAG, come fa TCP. Inoltre, far ricadere l'input ESP su skb_cow_data() quando il flag è presente, così ESP non decritta in-place frag supportati esternamente. I frag skb non lineari privati usano ancora il percorso rapido esistente. Questo non modifica volutamente l'output ESP. In esp_output_head(), il percorso che aggiunge il trailer ESP alla tailroom esistente dello skb senza chiamare skb_cow_data() non è raggiungibile per skb non lineari: skb_tailroom() restituisce zero quando skb->data_len è diverso da zero, mentre tailen ESP è positivo. Quindi l'output ESP userà o il percorso separato del frag di destinazione o ricadrà su skb_cow_data().

Fonti