CVE-2026-92525 in Linux
요약
\~에 의해 VulDB • 2026. 09. 18.
리눅스 커널에서 다음 취약점이 해결되었습니다:
RDMA/rxe: wqe->dma.sge[] 인덱싱 전에 num_sge/cur_sge 유효성 검사 수행
사용자 QP의 경우, qp->sq.queue는 애플리케이션이 직접 작성하는 링 버퍼입니다. 따라서 rxe_post_send() 함수는 is_user 분기를 취하여 WQE를 검증하지 않고 send_task만 스케줄링합니다. rxe_requester()는 req_next_wqe()를 통해 이를 인플레이스(in-place)로 소비하고 copy_data()를 호출하며, 여기서 공격자가 제어할 수 있는 num_sge/cur_sge를 사용하여 &wqe->dma.sge[cur_sge]에 접근합니다. 커널 경로에서는 validate_send_wr() 함수가 num_sge의 범위를 제한하지만, 사용자 WQE는 전혀 검증되지 않습니다. 따라서 로컬 비특권 사용자는 cur_sge가 범위 밖이거나 num_sge가 과도하게 큰 WQE를 게시하여 copy_data()에서 per-WQE sge 배열에 대한 아웃오브바운즈(out-of-bounds) 읽기를 유발할 수 있습니다(vmalloc OOB read, 로컬 DoS).
rxe_requester() 함수 내에서 get_srq_wqe()가 SRQ 엔트리를 보호하는 방식과 동일하게 사용 전에 num_sge를 qp->sq.max_sge로 제한하고, WQE에 페이로드(dma.resid)가 있는 경우에만 cur_sge를 제한합니다. copy_data()는 dma->sge[]에 접근하기 전에 길이 0인 복사 시 조기에 반환하므로, 최대 sge 수가 0인 QP가 게시할 수 있는 유일한 유형의 WQE(페이로드 없는 WQE)는 유효하게 유지됩니다.
KASAN 환경에서 재현되었으며, copy_data()의 vmalloc-out-of-bounds 문제가 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.