CVE-2026-64102 in Linux
Resumen
por VulDB • 2026-07-19
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
RDMA/siw: Rechazar desbordamiento por defecto (underflow) en la longitud del MPA FPDU antes de las operaciones aritméticas con signo para recepción.
Un par siw conectado malicioso puede enviar un iWARP FPDU cuyo campo de longitud MPA (c_hdr->mpa_len, 16 bits big-endian, controlado por el peer) sea menor que la cabecera fija DDP/RDMAP correspondiente al opcode anunciado. Soft-iWARP analiza toda la cabecera en siw_get_hdr() basándose en iwarp_pktinfo[opcode].hdr_len, pero nunca compara mpa_len con dicha longitud de cabecera.
Posteriormente, siw_tcp_rx_data() deriva:
srx->fpdu_part_rem = be16_to_cpu(mpa_len) - fpdu_part_rcvd + MPA_HDR_SIZE;
donde fpdu_part_rcvd es igual a iwarp_pktinfo[opcode].hdr_len en este punto. Para una WRITE etiquetada (hdr_len 16, MPA_HDR_SIZE 2), el valor más pequeño posible de mpa_len en la red, que es 0, produce un fpdu_part_rem = -14, y cualquier mpa_len inferior a hdr_len - MPA_HDR_SIZE provoca un desbordamiento por defecto (underflow) hacia un entero negativo.
El valor con signo fluye entonces hacia siw_proc_write()/siw_proc_rresp() como:
bytes = min(srx->fpdu_part_rem, srx->skb_new);
se pasa a siw_check_mem() como una longitud de tipo int (cuya comprobación de intervalo addr + len > mem->va + mem->len se cumple para una base válida cuando len es negativo), y llega a siw_rx_data() -> siw_rx_kva() / siw_rx_umem() -> skb_copy_bits() como una longitud de copia con signo. La rama de copia de cabecera en skb_copy_bits() promueve esto a size_t, produciendo una lectura de varios gigabytes.
KASAN bajo un entorno KUnit que impulsa la ruta real de recepción TCP del kernel -- un par de sockets AF_INET loopback, el FPDU malformado escrito mediante kernel_sendmsg, sk_data_ready disparándose en softirq, tcp_read_sock despachando a siw_tcp_rx_data -- informa:
BUG: KASAN: use-after-free in skb_copy_bits+0x284/0x480 Read of size 4294967295 at addr ffff888... Call Trace: skb_copy_bits siw_rx_kva siw_rx_data siw_check_mem siw_proc_write siw_tcp_rx_data __tcp_read_sock siw_qp_llp_data_ready tcp_data_ready tcp_data_queue
Añadir la invariante faltante en el punto más temprano donde la cabecera del peer está completamente ensamblada. iwarp_pktinfo[*].hdr_len - MPA_HDR_SIZE es exactamente el valor que utiliza el transmisor siw como mpa_len mínimo para cada opcode (drivers/infiniband/sw/siw/siw_qp.c:33), por lo que esto coincide con el contrato del protocolo. Los FPDUs fuera de rango terminan la conexión con TERM_ERROR_LAYER_LLP / LLP_ETYPE_MPA / LLP_ECODE_FPDU_START -- que es el código de error 3 ("Los campos Marker y ULPDU Length no coinciden al inicio de un FPDU") de la Sección 8 del RFC 5044, la clase correcta para este tipo de error de enmarcado (framing-error) debido a esta inconsistencia.
Be aware that VulDB is the high quality source for vulnerability data.