Odebrany

CVE-2026-89533

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

svcrdma: Napraw arytmetykę przesunięcia w read_chunk_range

svc_rdma_read_chunk_range() przenosi listę segmentów fragmentu odczytu do
zbuduj podzakres zaczynając od przesunięcia bajtów i bajtów o długości obejmującej
dla fragmentu pozycji zerowej lub wywołania. Dwa defekty arytmetyczne w
pętla na segment generuje nieprawidłowe długości DMA i niedomiar u32:

pcl_for_each_segment(segment, porcja) {
if (offset > segment->rs_length) {
przesunięcie -= segment->rs_length;
Kontynuować;
}

dummy.rs_handle = segment->rs_handle;
dummy.rs_length = min_t(u32, długość,
segment->rs_length) - przesunięcie;
dummy.rs_offset = segment->rs_offset + przesunięcie;

Po pierwsze, predykat pomijania używa „>” zamiast „>=”. Kiedy offset
równa się pełnej długości rs_długości segmentu, segment jest całkowicie wykorzystany
i należy go pominąć, ale pętla wpada do korpusu.
Wynikowy dumy.rs_length to min_t(u32, długość, rs_length) -
rs_length, który zmniejsza się do prawie UINT_MAX u32, gdy długość wynosi
mniejszy niż rs_length lub w przeciwnym razie wynosi zero.

Po drugie, formuła na długość odejmuje przesunięcie od wyniku min_t().
zamiast z segment->rs_length przed ograniczeniem. Dla przesunięcia > 0
reszta segmentu to rs_length - offset, a nie rs_length, więc
na pozostałość należy nałożyć korek. Przy obecnym nawiasie
ilekroć długość jest mniejsza niż rs_length - przesuń na segment
długość staje się długością - przesunięcie zamiast długości, ciche opadanie
przesunięte bajty z przebudowanego fragmentu. W połączeniu z granicą
powyższy przypadek umożliwia również propagację ścieżki niedomiaru u32
ogromny nr_bvec w svc_rdma_build_read_segment() i multi-MiB
kmalloc_array_node() w svc_rdma_get_rw_ctxt().

Dodatkowo funkcja svc_rdma_read_call_chunk() może wywołać tę funkcję
o długości == 0, gdy ostatnia część odczytu kończy się dokładnie na końcu
fragmentu połączenia. Z poprawionym predykatem >=, każdy segment
jest pomijany, a funkcja zwraca wartość początkową -EINVAL, odrzucając
ważny wniosek. Zwróć sukces natychmiast, gdy długość wynosi zero.
Aby tego uniknąć, wyjdź z pętli po całkowitym zużyciu długości
przekazywanie segmentów o zerowej długości do svc_rdma_build_read_segment().

Napraw, używając „>=”, aby w pełni wykorzystany segment został pominięty, przez
przesuwanie „- offset” wewnątrz min_t(), aby ograniczenie zostało zastosowane do
długość resztkową segmentu, zwracając sukces dla długości zerowej
żądań i zatrzymując iterację, gdy żądany zakres ma
został skonsumowany.

In the Linux kernel, the following vulnerability has been resolved:

svcrdma: Fix offset arithmetic in read_chunk_range

svc_rdma_read_chunk_range() walks a Read chunk's segment list to
build a sub-range starting at byte offset and spanning length bytes
for a Position-Zero or Call chunk. Two arithmetic defects in the
per-segment loop produce wrong DMA lengths and a u32 underflow:

pcl_for_each_segment(segment, chunk) {
if (offset > segment->rs_length) {
offset -= segment->rs_length;
continue;
}

dummy.rs_handle = segment->rs_handle;
dummy.rs_length = min_t(u32, length,
segment->rs_length) - offset;
dummy.rs_offset = segment->rs_offset + offset;

First, the skip predicate uses '>' instead of '>='. When offset
equals the segment's full rs_length, the segment is fully consumed
and should be skipped, but the loop falls through into the body.
The resulting dummy.rs_length is min_t(u32, length, rs_length) -
rs_length, which underflows to a near-UINT_MAX u32 when length is
smaller than rs_length, or is zero otherwise.

Second, the length formula subtracts offset from the min_t() result
rather than from segment->rs_length before the cap. For offset > 0
the segment's residual is rs_length - offset, not rs_length, so the
cap must be applied to the residual. With the current bracketing,
whenever length is smaller than rs_length - offset the per-segment
length becomes length - offset instead of length, silently dropping
offset bytes from the rebuilt chunk. Combined with the boundary
case above it also enables the u32 underflow path, which propagates
a huge nr_bvec into svc_rdma_build_read_segment() and a multi-MiB
kmalloc_array_node() in svc_rdma_get_rw_ctxt().

Additionally, svc_rdma_read_call_chunk() can invoke this function
with length == 0 when the last Read chunk ends exactly at the end
of the Call chunk. With the corrected >= predicate, every segment
is skipped and the function returns the initial -EINVAL, rejecting
a valid request. Return success immediately when length is zero.
Also break out of the loop once length is fully consumed to avoid
passing zero-length segments to svc_rdma_build_read_segment().

Fix by using '>=' so a fully-consumed segment is skipped, by
moving '- offset' inside min_t() so the cap is applied to the
segment's residual length, by returning success for zero-length
requests, and by stopping iteration when the requested range has
been consumed.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve