CVE-2026-92525 in Linux
Сводка
по VulDB • 18.09.2026
В ядре Linux была устранена следующая уязвимость:
RDMA/rxe: Проверка значений num_sge/cur_sge перед индексацией массива wqe->dma.sge[]
Для пользовательского QP (Queue Pair) qp->sq.queue представляет собой кольцевой буфер, в который приложение записывает данные напрямую. В результате rxe_post_send() выбирает ветку is_user и только планирует выполнение send_task без проверки WQE (Work Queue Element). Функция rxe_requester() обрабатывает его на месте с помощью req_next_wqe() и вызывает copy_data(), которая обращается к &wqe->dma.sge[cur_sge] используя контролируемые атакующим значения num_sge/cur_sge.
Только путь ядра ограничивает значение num_sge (функция validate_send_wr()); пользовательские WQE никогда не проверяются, поэтому локальный непривилегированный пользователь может отправить WQE с недопустимым значением cur_sge или избыточным num_sge и вызвать чтение за пределами границ массива sge для каждого WQE в функции copy_data() (чтение vmalloc OOB — Out-Of-Bounds, что приводит к локальному DoS).
Ограничено значение num_sge до qp->sq.max_sge в rxe_requester() перед использованием, аналогично тому, как get_srq_wqe() защищает записи SRQ. Значение cur_sge ограничивается только тогда, когда WQE содержит полезную нагрузку (dma.resid): функция copy_data() завершает работу досрочно при копировании нулевой длины до обращения к dma->sge[], поэтому WQE с пустой полезной нагрузкой — единственный тип, который может отправить QP с max_sge == 0 — остается валидным.
Воспроизведено под KASAN; ошибка vmalloc-out-of-bounds в copy_data() устранена.
If you want to get best quality of vulnerability data, you may have to visit VulDB.