В ядре Linux устранена следующая уязвимость:
veth: исправлен учет длины skb после настройки фрагмента XDP.
veth предоставляет нелинейные фрагменты skb через xdp_buff. Если XDP
программа корректирует область фрагмента, veth_xdp_rcv_skb() копирует
xdp_frags_size возвращается в skb->data_len, но оставляет skb->len, содержащий
вклад старого фрагмента. После сжатия фрагмента skb_headlen() становится больше фактического.
линейная площадь.
В воспроизведенном пути приема UDP __skb_datagram_iter()
скопировал 1024 байта после фактического линейного хвоста в пользовательское пространство, начиная с
структура skb_shared_info. Скопированные байты включали затронутые skb.
nr_frags, xdp_frags_size и указатель ядра из
skb_shinfo(skb)->frags[0]. Реальные пакетные данные были вытеснены теми же
сумму и обрезается в конце.
Вычтите старую data_len перед ее заменой и добавьте новую data_len.
после этого сохраняя синхронизацию skb->len и skb->data_len. Кроме того, bpf_xdp_pull_data() может опережать data_end при выходе из
фраги присутствуют. Скб тогда еще нелинейный, поэтому старый
__skb_put(skb, off) запускает SKB_LINEAR_ASSERT().
Используйте skb_set_tail_pointer() и вместо этого явно обновите skb->len,
после bpf_prog_run_generic_xdp(). В отличие от __skb_put(),
skb_set_tail_pointer() не требует линейного skb. Датаграмма UDP размером 60 000 байт в паре veth с MTU 64 000 была сокращена на
1024 байта от области его фрагмента.
До исправления все 10 прогонов производились
поврежденные полезные данные. После исправления все 10 запусков соответствовали ожидаемому
полезная нагрузка точно. Воспроизводитель с принудительным хвостовым помещением также тренируется
bpf_xdp_pull_data() с наличием фрагментов; старый код запускает
SKB_LINEAR_ASSERT(), а это исправление выдерживает 10 из 10 запусков.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: veth: fix skb length accounting after XDP frag adjustment veth exposes non-linear skb fragments through an xdp_buff. If an XDP program adjusts the fragment area, veth_xdp_rcv_skb() copies xdp_frags_size back to skb->data_len but leaves skb->len containing the old fragment contribution. After a fragment shrink, this makes skb_headlen() larger than the actual linear area. In the reproduced UDP receive path, __skb_datagram_iter() copied 1024 bytes past the actual linear tail to userspace, starting at struct skb_shared_info. The copied bytes included the affected skb's nr_frags, xdp_frags_size, and a kernel pointer from skb_shinfo(skb)->frags[0]. Real packet data was displaced by the same amount and truncated at the end. Subtract the old data_len before replacing it and add the new data_len afterwards, keeping skb->len and skb->data_len synchronized. Additionally, bpf_xdp_pull_data() can advance data_end while leaving frags present. The skb is then still non-linear, so the old __skb_put(skb, off) triggers SKB_LINEAR_ASSERT(). Use skb_set_tail_pointer() and update skb->len explicitly instead, following bpf_prog_run_generic_xdp(). Unlike __skb_put(), skb_set_tail_pointer() does not require a linear skb. A 60000-byte UDP datagram on a veth pair with MTU 64000 was shortened by 1024 bytes from its fragment area. Before the fix, all 10 runs produced corrupted payloads. After the fix, all 10 runs matched the expected payload exactly. A forced-tailroom reproducer also exercises bpf_xdp_pull_data() with frags still present; the old code triggers SKB_LINEAR_ASSERT(), while this fix passes 10/10 runs.
Характеристики атаки
Последствия
Строка CVSS v3.1
Уязвимые продукты 6
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Linux Linux_Kernel
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
|
5.18
|
6.1.184
|
|
Linux Linux_Kernel
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
|
5.18
|
6.6.152
|
|
Linux Linux_Kernel
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
|
5.18
|
6.12.104
|
|
Linux Linux_Kernel
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
|
5.18
|
6.18.45
|
|
Linux Linux_Kernel
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
|
5.18
|
7.1.9
|
|
Linux Linux_Kernel
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
|
5.18
|
7.2
|