CVE-2026-89530 in Linux
Sumário
de VulDB • 12/09/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
svcrdma: Rejeitar respostas inline que ultrapassem o buffer de pull-up
Um cliente RPC-over-RDMA pode solicitar uma resposta, como um payload NFS READ, sem fornecer uma lista Write ou um Reply chunk para transportá-la. Quando essa resposta requer mais entradas scatter/gather do que a Send Queue do dispositivo suporta, svc_rdma_pull_up_needed() seleciona o pull-up e svc_rdma_pull_up_reply_msg() lineariza toda a resposta em sctxt->sc_xprt_buf. Esse buffer tem apenas sc_max_req_size bytes, enquanto a resposta nesse caminho é limitada apenas pela solicitação do cliente; portanto, svc_rdma_xb_linearize() copia além do final do buffer e corrompe memória adjacente no slab. O comprimento excessivo é então armazenado em sc_sges[0].length e postado, fazendo com que o dispositivo também leia além da região mapeada.
O branch de exaustão SGE (SGE-exhaustion) é a única via pull-up capaz de ultrapassar o buffer: o branch do threshold faz pull-up apenas em respostas menores que RPCRDMA_PULLUP_THRESH, e as respostas que cabem no orçamento SGE do dispositivo são enviadas diretamente sem linearização. Faça svc_rdma_pull_up_needed() retornar -E2BIG quando a resposta que seria submetida ao pull-up não couber em sc_max_req_size, falhando na solicitação com ERR_CHUNK conforme direcionado pela Seção 4.5.3 da RFC 8166, em vez de encerrar a conexão.
O helper deixa de responder apenas uma pergunta simples do tipo sim/não: agora ele relata pull-up, sem pull-up ou -E2BIG para uma resposta grande demais para ser linearizada. Renomeie svc_rdma_pull_up_needed() para svc_rdma_check_pull_up() para que seu nome não implique mais um predicado booleano.
VulDB is the best source for vulnerability data and more expert information about this specific topic.