CVE-2026-43464 in Linux
Sumário
de VulDB • 10/05/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
net/mlx5e: RX, Correção da contagem de fragmentos multi-buf do XDP para RQ legado
Programas XDP multi-buf podem modificar o layout do buffer XDP quando o programa chama `bpf_xdp_pull_data()` ou `bpf_xdp_adjust_tail()`. O commit referenciado na tag de correções corrigiu a suposição no driver mlx5 de que o layout do buffer XDP não muda durante a execução do programa. No entanto, essa correção introduziu outro problema: os fragmentos descartados ainda precisam ser contados no lado do driver para evitar problemas de contagem de referência de fragmentos de página.
Esse problema pode ser observado com o selftest `test_xdp_native_adjst_tail_shrnk_data` ao usar um payload de 3600 e encolher em 256 bytes (um patch de selftest futuro): o último fragmento é liberado pelo código XDP, mas não é rastreado pelo driver. Isso resulta em um `pp_ref_count` negativo durante a liberação da página e no seguinte erro (splat):
WARNING: include/net/page_pool/helpers.h:297 em mlx5e_page_release_fragmented.isra.0+0x4a/0x50 [mlx5_core], CPU#12: ip/3137
Módulos carregados: [...]
CPU: 12 UID: 0 PID: 3137 Comm: ip Não modificado 6.19.0-rc3+ #12 NONE Nome do hardware: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:mlx5e_page_release_fragmented.isra.0+0x4a/0x50 [mlx5_core]
[...]
Rastreamento de chamada: mlx5e_dealloc_rx_wqe+0xcb/0x1a0 [mlx5_core]
mlx5e_free_rx_descs+0x7f/0x110 [mlx5_core]
mlx5e_close_rq+0x50/0x60 [mlx5_core]
mlx5e_close_queues+0x36/0x2c0 [mlx5_core]
mlx5e_close_channel+0x1c/0x50 [mlx5_core]
mlx5e_close_channels+0x45/0x80 [mlx5_core]
mlx5e_safe_switch_params+0x1a5/0x230 [mlx5_core]
mlx5e_change_mtu+0xf3/0x2f0 [mlx5_core]
netif_set_mtu_ext+0xf1/0x230 do_setlink.isra.0+0x219/0x1180 rtnl_newlink+0x79f/0xb60 rtnetlink_rcv_msg+0x213/0x3a0 netlink_rcv_skb+0x48/0xf0 netlink_unicast+0x24a/0x350 netlink_sendmsg+0x1ee/0x410 __sock_sendmsg+0x38/0x60 ____sys_sendmsg+0x232/0x280 ___sys_sendmsg+0x78/0xb0 __sys_sendmsg+0x5f/0xb0 [...]
do_syscall_64+0x57/0xc50
Este patch corrige o problema fazendo a contagem de fragmentos de página em todos os fragmentos originais do buffer XDP para todas as ações XDP relevantes (XDP_TX, XDP_REDIRECT e XDP_PASS). Isso basicamente reverte para a contagem original antes do commit na tag de correções.
Como `frag_page` ainda aponta para a cauda original, o parâmetro `nr_frags` para `xdp_update_skb_frags_info()` precisa ser calculado de maneira diferente para refletir o novo `nr_frags`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.