CVE-2026-31429

Resumo

No Linux kernel, a seguinte vulnerabilidade foi resolvida: net: skb: corrigir liberação entre caches de cabeçalho skb alocado por KFENCE SKB_SMALL_HEAD_CACHE_SIZE é intencionalmente definido como um valor que não é potência de 2 (ex.: 704 em x86_64) para evitar colisões com tamanhos genéricos de buckets do kmalloc. Isso garante que skb_kfree_head() possa usar de forma confiável skb_end_offset para distinguir cabeçalhos skb alocados de skb_small_head_cache vs. caches genéricos do kmalloc. No entanto, quando KFENCE está habilitado, kfence_ksize() retorna o tamanho exato de alocação solicitado em vez do tamanho do bucket do slab. Se um chamador (ex.: bpf_test_init) aloca dados de cabeçalho skb via kzalloc() e o tamanho solicitado por acaso for igual a SKB_SMALL_HEAD_CACHE_SIZE, então slab_build_skb() -> ksize() retorna esse valor exato. Após subtrair a sobrecarga de skb_shared_info, skb_end_offset acaba correspondendo a SKB_SMALL_HEAD_HEADROOM, fazendo com que skb_kfree_head() libere incorretamente o objeto para skb_small_head_cache em vez de devolvê-lo ao cache original do kmalloc, resultando em uma liberação entre caches do slab: kmem_cache_free(skbuff_small_head): Wrong slab cache. Expected skbuff_small_head but got kmalloc-1k Corrija isso chamando sempre kfree(head) em skb_kfree_head(). Isso mantém o caminho de liberação genérico e evita classificação incorreta específica do alocador para objetos KFENCE.

• CVE-2026-31429-POCPoC

  POC para CVE-2026-31429 (Linux Kernel >= 6.3 < 6.12.82 Slab Cross-Cache Confusion) - vulnerabilidade descoberta por Antonius - w1sdom - bluedragonsec.com