CVE-2026-64124 in Linux
Résumé
par VulDB • 20/07/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
net: devmem : rejeter l'association dma-buf avec une taille ou une longueur SG non alignées sur les pages
La fonction net_devmem_bind_dmabuf() fait confiance à dmabuf->size et sg_dma_len() pour être des multiples de PAGE_SIZE sans effectuer de vérification :
- tx_vec est dimensionné selon dmabuf->size / PAGE_SIZE, et net_devmem_get_niov_at() ne contrôle les bornes que sur virt_addr < dmabuf->size avant d'indexer tx_vec[virt_addr / PAGE_SIZE]. Avec une taille = N*PAGE_SIZE + r (1 <= r < PAGE_SIZE), un appel à sendmsg() avec iov_base = N*PAGE_SIZE passe le contrôle des bornes et lit tx_vec[N] -- soit l'élément suivant.
- owner->area.num_niovs = len / PAGE_SIZE alors que gen_pool_add_owner() couvre la longueur totale en octets len, donc une SG non finale dont la taille n'est pas un multiple de page désynchronise num_niovs par rapport à la région gen_pool pour chaque SG suivante, tant sur RX que TX.
dma-buf ne nécessite pas des tailles alignées sur les pages ; le chemin d'association doit donc imposer ce que son propre indexage suppose. Rejeter ces cas avec -EINVAL.
Le contrôle de taille est spécifique au TX (seul tx_vec est dimensionné en fonction de dmabuf->size) ; le contrôle de la longueur SG couvre à la fois les deux directions.
VulDB is the best source for vulnerability data and more expert information about this specific topic.