Este repositório contém a prova de conceito para CVE-2026-31429 (não é um exploit funcional, apenas um POC), um bug de confusão cross-cache de slab na pilha de rede do kernel Linux. O bug é acionado quando KFENCE está habilitado e um chamador (especificamente bpf_test_init em net/bpf/test_run.c) aloca um buffer de cabeçalho SKB via kzalloc() com um tamanho que coincide com SKB_SMALL_HEAD_CACHE_SIZE. Devido à semântica de relatório de tamanho exato do KFENCE, a função skb_kfree_head() do kernel libera incorretamente o objeto de volta para skb_small_head_cache em vez do cache kmalloc-1k original, corrompendo os metadados do slab.

Versões Afetadas

A vulnerabilidade foi introduzida pelo commit bf9f1baa279f ("net: add dedicated kmem_cache for typical/small skb->head"), que adicionou skb_small_head_cache e a lógica de liberação condicional em skb_kfree_head().

Análise da Causa Raiz

Contexto: Intenção de Design do skb_small_head_cache

SKB_SMALL_HEAD_CACHE_SIZE é intencionalmente definido como um valor não potência de 2 (ex.: 704 bytes em x86_64) para evitar colisões com os tamanhos genéricos de buckets do kmalloc (sempre potências de 2: 512, 1024, ...). A heurística em skb_kfree_head() explora essa exclusividade para rotear liberações usando apenas skb_end_offset:

• end_offset == SKB_SMALL_HEAD_HEADROOM → assumido como vindo de skb_small_head_cache → kmem_cache_free()
• caso contrário → kfree() genérico

Essa heurística é válida apenas sob semântica normal de slab, onde ksize() retorna o tamanho do bucket (1024 para uma solicitação de 704 bytes), que nunca é igual a SKB_SMALL_HEAD_CACHE_SIZE.

A Exceção do KFENCE

KFENCE (Kernel Electric-Fence) intercepta um subconjunto de alocações do kernel e as atende a partir de memória com páginas de guarda. Sua diferença comportamental crítica: kfence_ksize() retorna o tamanho exato solicitado, não o tamanho do bucket do slab.

Cadeia de Chamadas Vulnerável

Por que skb_end_offset = 384?

Em x86_64:

Quando o KFENCE intercepta o kzalloc() de 704 bytes, kfence_ksize() retorna exatamente 704. A aritmética produz skb_end_offset = 384 = SKB_SMALL_HEAD_HEADROOM, satisfazendo a condicional em skb_kfree_head() — acionando o caminho de liberação errado.

A Correção

A correção upstream por Jiayuan Chen (revisada por Eric Dumazet, mesclada por Jakub Kicinski) elimina a heurística por completo:

kfree() é seguro tanto para memória alocada via kmalloc quanto para memória alocada via skb_small_head_cache porque kmem_cache_free() em skb_small_head_cache não é mais necessário — o kfree() genérico resolve o cache correto internamente por meio do ponteiro kmem_cache da página do slab.

Saída do dmesg (Evidência de Reprodução)

O reprodutor (repro_bpf.c) foi executado no Linux 7.0.0-rc5 em um ambiente QEMU (i440FX, BIOS 1.17.0-debian). A seguinte cascata de WARNINGs do kernel foi observada:

A cascata de WARNINGs produz 4 splats separados por acionamento:

1. warn_free_bad_obj — detecção primária de liberação cross-cache (mm/slub.c:6258)
2. depot_fetch_stack — índice do pool do stack depot fora dos limites (lib/stackdepot.c:506) no rastreamento Allocated
3. stack_depot_print — handle corrompido detectado (lib/stackdepot.c:780)
4. depot_fetch_stack + stack_depot_print — mesmo par repetido para o rastreamento Freed

Essa cascata indica que os metadados de rastreamento do SLUB do objeto (alloc_track / free_track) referenciam um handle do stack depot que se torna corrompido após a liberação no cache errado.

Reprodutor

Pré-requisitos

Compilação

Execução

Mecanismo de Acionamento

O PoC carrega um programa BPF mínimo de 3 instruções (tipo BPF_PROG_TYPE_SCHED_CLS):

Em seguida, chama BPF_PROG_TEST_RUN (cmd=10) com:

• data_size_in = 284 bytes de dados de pacote derivados do Syzkaller
• flags = BPF_F_TEST_RUN_ON_CPU (0x4) — fixa a execução na CPU 0
• repeat = 4
• Seguido por um loop de 50 chamadas adicionais para confiabilidade

Os 284 bytes de dados de entrada exercitam o caminho de alocação de bpf_test_init de modo que o tamanho do buffer solicitado seja igual a SKB_SMALL_HEAD_CACHE_SIZE, atingindo probabilisticamente a janela de interceptação do KFENCE.

Commits de Correção

Cadeia de assinaturas: Jiayuan Chen → Reviewed-by Eric Dumazet (Google) → Jakub Kicinski → Greg Kroah-Hartman
Crédito Reported-by: Antonius <[email protected]> em todos os 4 commits
Introduzido por: bf9f1baa279f ("net: add dedicated kmem_cache for typical/small skb->head")

Referências

• Entrada NVD / CVE: https://www.cve.org/CVERecord?id=CVE-2026-31429
• Patch upstream (mainline): https://git.kernel.org/stable/c/0f42e3f4fe2a58394e37241d02d9ca6ab7b7d516
• Stable 6.12.x: https://git.kernel.org/stable/c/60313768a8edc7094435975587c00c2d7b834083
• Stable 6.18.x: https://git.kernel.org/stable/c/2d64618ea846d8d033477311f805ca487d6a6696
• Stable 6.19.x: https://git.kernel.org/stable/c/474e00b935db250cac320d10c1d3cf4e44b46721
• Relatório Lore: https://lore.kernel.org/netdev/CAK8a0jxC5L5N7hq-DT2_NhUyjBxrPocoiDazzsBk4TGgT1r4-A@mail.gmail.com/
• Blue Dragon Security: https://bluedragonsec.com

Conteúdo do Repositório

Linha do Tempo de Divulgação

Autor

Antonius (apelido: w1sdom)
Fundador e Pesquisador Sênior — Blue Dragon Security
Indonésia
[email protected]

Legal

Este PoC é liberado para fins educacionais e de pesquisa após o patch upstream estar disponível. Não use em sistemas que você não possui ou para os quais não tem permissão explícita para testar. O autor não se responsabiliza por uso indevido.