CVE-2026-98368

W jądrze Linuksa usunięto następującą lukę:

esp: obniż wersję zarządzanych fragów z kopią zerową przed zmutowaniem fragów skb

Na ścieżce wyjściowej znajdującej się poza miejscem (esp->inplace == false) ESP przepisuje plik
skb tablica frag: esp_output_head() dołącza frag zwiastuna i
esp_output_tail() zastępuje fragi stroną docelową, obie
odwołuje się do get_page().

Kiedy skb przenosi fragi zarządzane z zerową kopią (SKBFL_MANAGED_FRAG_REFS), plik
fragi ładunku są własnością ubuf i nie można się do nich odwoływać lub
nie ma odniesień indywidualnie, ale ESP mutuje tablicę frag bez „ever”.
obniżenie wersji skb. To łamie niezmiennik zarządzanego fragmentu na dwa sposoby:

- esp_ssg_unref() przegląda źródłową listę rozproszeń i upuszcza stronę
odniesienie do każdego fraga, łącznie z fragmentami ładunku należącymi do ubuf,
przesuwając ich przeliczenie poniżej odchylenia pinów GUP, podczas gdy strony są
nadal przypięte, tj. wykorzystanie stron bez kopii;

- esp_output_tail() instaluje swoją stronę docelową jako frag 0 z
get_page(), ale pozostawia ustawioną SKBFL_MANAGED_FRAG_REFS, więc
skb_release_data() pobiera gałąź skip_unref i nigdy jej nie usuwa
odniesienie, wyciek strony x->xfrag przy szybkości pakietów.

Napraw to w sposób, w jaki robi to każda inna witryna mutująca fragmenty (__ip_append_data(),
__ip6_append_data(), tcp_sendmsg_locked()) i wywołaj
skb_zcopy_downgrade_managed() zanim ESP dotknie tablicy frag: zajmuje to
prawdziwe odniesienie do każdego istniejącego fraga i kasuje SKBFL_MANAGED_FRAG_REFS,
więc brak refowania na frag w esp_ssg_unref() i uwalnianie fragów w
skb_release_data() są zrównoważone i nie ma tablicy fragmentów o mieszanej własności
pozostawione.