Odebrany

CVE-2026-93107

opublikowano: 17.09.2026, 19:18

modyfikacja: 17.09.2026, 19:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

RDMA/rxe: Unikaj ponownego przetwarzania bieżącego pakietu po wejściu QP w stan błędu

Kiedy do_complete() znajdzie QP w stanie błędu, zwraca
RESPST_CHK_RESOURCE. Przed zatwierdzeniem 49dc9c1f0c7e („RDMA/rxe: Cleanup
zresetuj obsługę stanu w rxe_resp.c”), to była pętla opróżniania:
check_resource() miała gałąź stanu błędu, która pobierała każdą pozostałą część
recv WQE i uzupełniłem go IB_WC_WR_FLUSH_ERR, bez dotykania
bieżący pakiet. To zatwierdzenie usunęło gałąź stanu błędu z
check_resource() (opróżnianie odbywa się teraz przy wpisie rxe_receiver()), ale
zachował zwrot stanu błędu do_complete().

W rezultacie, gdy QP przejdzie do stanu błędu, podczas gdy pakiet jest
w trakcie realizacji – np. rozłączenie rdma_cm ściga się z odbiorem
przetwarzanie — maszyna stanu obiektu odpowiadającego wraca do żądania
łańcuch przetwarzania z już ukończonym pakietem wciąż w ręku:
check_resource() pobiera nowy plik WQE, wykonaj()/send_data_in()
kopiuje ponownie ten sam ładunek pakietu, do_complete() wysyła kolejny
IB_WC_SUCCESS CQE (qp->resp.status nadal wynosi 0) i zwroty kontrolne
do sprawdzania stanu błędu. Pętla ponownie wykonuje ten sam pakiet jeden raz
na opublikowaną recv WQE (obserwowane: ~1000 duplikatów IB_WC_SUCCESS
zakończenie jednego SEND, jedno na ~8 nas, odpowiadające obłożeniu RQ)
aż do wyczerpania RQ, po czym qp->resp.wqe ma wartość NULL i
send_data_in() dereferuje to:

BŁĄD: wyłuskiwanie wskaźnika NULL jądra, adres: 0000000000000014
Kolejka robocza: rxe_wq do_work
RIP: kopia_dane+0x29/0x1f0
Zadzwoń do śledzenia:
send_data_in+0x25/0x50
rxe_receiver+0xf36/0x1dd0

Zduplikowane uzupełnienia są nie do odróżnienia od prawdziwych otrzymań
ULP. Podczas testu obciążeniowego RDS wiadomość została zaakceptowana jako nowa i
dostarczał ten sam datagram do przestrzeni użytkownika setki razy, powodując uszkodzenie
strumień; wszelkie ULP, które opierają się na RC dokładnie wtedy, gdy ma to wpływ na dostawę.

Aktywny pakiet osiągający kontrolę stanu błędu w funkcji do_complete() ma
zostało wykonane i ukończone dokładnie raz i nie musi zostać skonsumowane
ponownie przetworzone. Zwróć dla niego RESPST_CLEANUP (usuń z kolejki i za darmo); zachować
zwracanie RESPST_CHK_RESOURCE dla przypadku pkt == NULL.

In the Linux kernel, the following vulnerability has been resolved:

RDMA/rxe: Avoid reprocessing the current packet after the QP enters the error state

When do_complete() finds the QP in the error state it returns
RESPST_CHK_RESOURCE. Before commit 49dc9c1f0c7e ("RDMA/rxe: Cleanup
reset state handling in rxe_resp.c") this was the flush loop:
check_resource() had an error-state branch that fetched each remaining
recv WQE and completed it with IB_WC_WR_FLUSH_ERR, without touching
the current packet. That commit removed the error-state branch from
check_resource() (draining is now done at rxe_receiver() entry) but
kept the do_complete() error-state return.

As a result, when a QP moves to the error state while a packet is
being completed - e.g. an rdma_cm disconnect racing with receive
processing - the responder state machine loops back into the request
processing chain with the already-completed packet still in hand:
check_resource() fetches a fresh recv WQE, execute()/send_data_in()
copies the same packet payload again, do_complete() posts another
IB_WC_SUCCESS CQE (qp->resp.status is still 0), and control returns
to the error-state check. The loop re-executes the same packet once
per posted recv WQE (observed: ~1000 duplicate IB_WC_SUCCESS
completions of one SEND, one per ~8us, matching the RQ occupancy)
until the RQ is exhausted, after which qp->resp.wqe is NULL and
send_data_in() dereferences it:

BUG: kernel NULL pointer dereference, address: 0000000000000014
Workqueue: rxe_wq do_work
RIP: copy_data+0x29/0x1f0
Call Trace:
send_data_in+0x25/0x50
rxe_receiver+0xf36/0x1dd0

The duplicate completions are indistinguishable from real receives to
the ULP. During an rds stress test, the message was accepted as new and
delivered the same datagram to user space hundreds of times, corrupting
the stream; any ULP that relies on RC exactly-once delivery is affected.

A live packet reaching the error-state check in do_complete() has
been executed and completed exactly once and must be consumed, not
re-processed. Return RESPST_CLEANUP for it (dequeue and free); keep
returning RESPST_CHK_RESOURCE for the pkt == NULL case.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve