CVE-2026-43500
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność w implementacji protokołu RxRPC, gdzie funkcje obsługujące pakiety DATA i RESPONSE nie sprawdzały, czy bufor skb zawiera współdzielone fragmenty stron (np. pochodzące z splice()). W rezultacie deszyfrowanie mogło odbywać się na miejscu na współdzielonych stronach, co prowadziło do potencjalnego naruszenia integralności danych.
Ocena ryzyka
Organizacja narażona jest na ataki typu man-in-the-middle lub wyciek danych, ponieważ współdzielone fragmenty stron mogą być modyfikowane przez inne procesy podczas deszyfrowania, co może umożliwić przejęcie lub modyfikację ruchu RxRPC.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę (commit 5a7b5e8c), która rozszerza sprawdzanie o skb_has_frag_list() i skb_has_shared_frag(), aby zapewnić kopię bufora przed deszyfrowaniem.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: rxrpc: Also unshare DATA/RESPONSE packets when paged frags are present The DATA-packet handler in rxrpc_input_call_event() and the RESPONSE handler in rxrpc_verify_response() copy the skb to a linear one before calling into the security ops only when skb_cloned() is true. An skb that is not cloned but still carries externally-owned paged fragments (e.g. SKBFL_SHARED_FRAG set by splice() into a UDP socket via __ip_append_data, or a chained skb_has_frag_list()) falls through to the in-place decryption path, which binds the frag pages directly into the AEAD/skcipher SGL via skb_to_sgvec(). Extend the gate to also unshare when skb_has_frag_list() or skb_has_shared_frag() is true. This catches the splice-loopback vector and other externally-shared frag sources while preserving the zero-copy fast path for skbs whose frags are kernel-private (e.g. NIC page_pool RX, GRO). The OOM/trace handling already in place is reused.