В ядре Linux устранена следующая уязвимость:
vsock/virtio: объединить только линейные skb
vsock/virtio common пытается объединить буферы в очереди приема: если линейный skb
(с запасным хвостовым помещением) следует небольшой скб (длина ограничена
GOOD_COPY_LEN = 128), делается попытка к ним присоединиться. С момента введения поддержки MSG_ZEROCOPY предполагается, что небольшой skb
всегда будет линейным, неверно. В случае нулевой копии данные теряются и
к линейному skb добавляется неинициализированная память ядра.
Из всех трех поддерживаемых транспортов на основе virtio работает только петлевой транспорт.
повлияло. Очередь приема G2H virtio-transport работает с явно линейными skbs;
см. virtio_vsock_alloc_linear_skb() в virtio_vsock_rx_fill(). H2G
vhost-transport может выделять нелинейные skbs, но только для размеров,
не рассматривается для слияния; см. PAGE_ALLOC_COSTLY_ORDER в
virtio_vsock_alloc_skb().
Убедитесь, что объединены только линейные skbs. Обратите внимание, что skb_tailroom(last_skb) > 0
гарантирует, что Last_skb является линейным.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: Coalesce only linear skb vsock/virtio common tries to coalesce buffers in rx queue: if a linear skb (with a spare tail room) is followed by a small skb (length limited by GOOD_COPY_LEN = 128), an attempt is made to join them. Since the introduction of MSG_ZEROCOPY support, assumption that a small skb will always be linear is incorrect. In the zerocopy case, data is lost and the linear skb is appended with uninitialized kernel memory. Of all 3 supported virtio-based transports, only loopback-transport is affected. G2H virtio-transport rx queue operates on explicitly linear skbs; see virtio_vsock_alloc_linear_skb() in virtio_vsock_rx_fill(). H2G vhost-transport may allocate non-linear skbs, but only for sizes that are not considered for coalescence; see PAGE_ALLOC_COSTLY_ORDER in virtio_vsock_alloc_skb(). Ensure only linear skbs are coalesced. Note that skb_tailroom(last_skb) > 0 guarantees last_skb is linear.