Odebrany

CVE-2026-89973

opublikowano: 16.09.2026, 13:17

modyfikacja: 16.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

nvme-tcp: sprawdź kierunek danych jednostki PDU C2HData

nvme_tcp_handle_c2h_data() znajduje żądanie według identyfikatora polecenia i sprawdza
że ma ładunek, ale nie sprawdza, czy polecenie było wymagane
dane do odczytania. Kontroler, który odpowiada na polecenie zapisu za pomocą C2HData
dlatego osiąga nvme_tcp_recv_data(), gdzie trafia _copy_to_iter()
WARN_ON_ONCE(i->data_source) i zwraca 0. Ścieżka odbiorcza to zmienia
na -EFAULT i resetuje kontroler.

Żadne dane nie są kopiowane, więc nie jest to uszkodzenie pamięci. Co za kontroler
gets to ostrzeżenie jądra, które może wywołać dowolnie, co jest śmiertelne dla hosta
uruchomiony z panic_on_warn.

Ścieżka wysyłania zna już kierunek - sprawdza rq_data_dir()
kiedy buduje polecenie - i nvme_tcp_handle_r2t() sprawdza długość
i przesunięcie żądania, które nazywa. Ścieżka C2HData nie jest sprawdzana
w ogóle kierunek.

Odrzuć jednostkę PDU C2HData, której polecenie nie jest odczytem. Odrzucenie tego kończy się niepowodzeniem
polecenie i resetuje kontroler, ponieważ sprawdza to sąsiad
funkcja działa; to, co znika, to ostrzeżenie.

[ 6.885580] ------------[ wytnij tutaj ]------------
[ 6.886457] OSTRZEŻENIE: lib/iov_iter.c:193 w _copy_to_iter+0x289/0x1330, CPU#0: kworker/0:1H/71
[6.888137] Procesor: 0 UID: 0 PID: 71 Comm: kworker/0:1H Nieskażony 7.2.0-rc5-NVMETCP-gf5098b6bae76 #1 PREEMPT(leniwy)
[ 6.891165] Kolejka robocza: nvme_tcp_wq nvme_tcp_io_work
[ 6.891875] RIP: 0010:_copy_to_iter+0x289/0x1330
[ 6.903739] Śledzenie połączeń:
[ 6.904085] <ZADANIE>
[ 6.909254] __skb_datagram_iter+0x433/0x820
[ 6.911026] skb_copy_datagram_iter+0x37/0x120
[ 6.911622] nvme_tcp_recv_skb+0xa07/0x4320
[ 6.913378] __tcp_read_sock+0x1ab/0x810
[ 6.915788] nvme_tcp_try_recv+0x152/0x1e0
[ 6.918222] nvme_tcp_io_work+0x1e4/0x6c0
[ 6.926906] </TASK>
[ 6.927226] ---[ ślad końcowy 0000000000000000 ]---
[ 6.927878] nvme nvme0: kolejka 1 nie mogła skopiować danych żądania 0x71
[6.928709] nvme nvme0: odbiór nie powiódł się: -14

In the Linux kernel, the following vulnerability has been resolved:

nvme-tcp: check the data direction of a C2HData PDU

nvme_tcp_handle_c2h_data() finds the request by command id and checks
that it has a payload, but it does not check that the command asked for
data to be read. A controller that answers a write command with C2HData
therefore reaches nvme_tcp_recv_data(), where _copy_to_iter() hits
WARN_ON_ONCE(i->data_source) and returns 0. The receive path turns that
into -EFAULT and resets the controller.

No data is copied, so this is not memory corruption. What a controller
gets is a kernel warning it can raise at will, which is fatal on a host
booted with panic_on_warn.

The send path already knows the direction - it consults rq_data_dir()
when it builds a command - and nvme_tcp_handle_r2t() checks the length
and the offset of the request it names. The C2HData path does not check
the direction at all.

Reject a C2HData PDU whose command is not a read. Rejecting it fails
the command and resets the controller, as the neighbouring check in this
function does; what goes away is the warning.

[ 6.885580] ------------[ cut here ]------------
[ 6.886457] WARNING: lib/iov_iter.c:193 at _copy_to_iter+0x289/0x1330, CPU#0: kworker/0:1H/71
[ 6.888137] CPU: 0 UID: 0 PID: 71 Comm: kworker/0:1H Not tainted 7.2.0-rc5-NVMETCP-gf5098b6bae76 #1 PREEMPT(lazy)
[ 6.891165] Workqueue: nvme_tcp_wq nvme_tcp_io_work
[ 6.891875] RIP: 0010:_copy_to_iter+0x289/0x1330
[ 6.903739] Call Trace:
[ 6.904085] <TASK>
[ 6.909254] __skb_datagram_iter+0x433/0x820
[ 6.911026] skb_copy_datagram_iter+0x37/0x120
[ 6.911622] nvme_tcp_recv_skb+0xa07/0x4320
[ 6.913378] __tcp_read_sock+0x1ab/0x810
[ 6.915788] nvme_tcp_try_recv+0x152/0x1e0
[ 6.918222] nvme_tcp_io_work+0x1e4/0x6c0
[ 6.926906] </TASK>
[ 6.927226] ---[ end trace 0000000000000000 ]---
[ 6.927878] nvme nvme0: queue 1 failed to copy request 0x71 data
[ 6.928709] nvme nvme0: receive failed: -14

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve