CVE-2026-43284

Resumo

No kernel Linux, a seguinte vulnerabilidade foi resolvida: xfrm: esp: evitar descriptografia in-place em frags de skb compartilhados MSG_SPLICE_PAGES pode anexar páginas de um pipe diretamente a um skb. O TCP marca esses skbs com SKBFL_SHARED_FRAG após skb_splice_from_iter(), para que caminhos posteriores que possam modificar os dados do pacote possam primeiro fazer uma cópia privada. Os caminhos de anexação de datagramas IPv4/IPv6 não definiram essa flag ao fazer splice de páginas em skbs UDP. Isso faz com que um pacote ESP-em-UDP feito de páginas de pipe compartilhadas pareça um skb não linear comum não clonado. A entrada do ESP então segue o caminho rápido sem COW para skbs não clonados sem frag_list e descriptografa in-place sobre dados que não são de propriedade privada do skb. Marque os frags de splice de datagramas IPv4/IPv6 com SKBFL_SHARED_FRAG, para corresponder ao TCP. Além disso, faça a entrada do ESP recorrer a skb_cow_data() quando a flag estiver presente, para que o ESP não descriptografe in-place frags com suporte externo. Frags de skb não linear privados ainda usam o caminho rápido existente. Isso propositalmente não altera a saída do ESP. Em esp_output_head(), o caminho que anexa o trailer ESP ao tailroom existente do skb sem chamar skb_cow_data() não é alcançável para skbs não lineares: skb_tailroom() retorna zero quando skb->data_len é diferente de zero, enquanto o tailen do ESP é positivo. Assim, a saída do ESP usará o caminho separado de frag de destino ou recorrerá a skb_cow_data().

Fontes