Odebrany

CVE-2026-99166

opublikowano: 28.10.2026, 12:17

modyfikacja: 28.10.2026, 12:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: rds: napraw niezainicjowane dereferencje translacyjne w obsłudze zdarzeń CM

rds_rdma_cm_event_handler_cmn() przypisuje trans tylko wtedy, gdy RDMA
urządzeniem jest InfiniBand CA (RDMA_NODE_IB_CA). Na dowolnym innym urządzeniu
wpisz, np. RNIC iWARP, taki jak siw, trans, pozostaje niezainicjowany, ale
przełącznik zdarzeń usuwa referencje: bezwarunkowo w
Przypadek RDMA_CM_EVENT_CONNECT_REQUEST poprzez trans->cm_handle_connect(),
i (z kontekstem połączenia) w ROUTE_RESOLVED i
SPRAWDZONE przypadki.

Dlatego odbiornik RDS na urządzeniu iWARP powoduje awarię jądra
zaraz po otrzymaniu żądania połączenia: z CONFIG_INIT_STACK_ALL_ZERO
dzikie obciążenie staje się wyłuskiwaniem NULL przy przesunięciu 0xa0
(&trans->cm_handle_connect) w kolejce roboczej iw_cm_wq.

GCC maskuje błąd w domyślnych kompilacjach, składając niezainicjowany
załaduj do &rds_ib_transport; Jądra zbudowane w oparciu o Clang przejmują rzeczywistość
niezainicjowana ścieżka i ups.

Aktywna strona może również wylądować na urządzeniu innym niż IB: identyfikator to
Funkcja rds_ib_conn_path_connect() tworzy nie jest ograniczona do typu węzła,
więc rdma_resolve_addr() wiąże go z dowolnym urządzeniem obsługującym lokalnie
adres i kwalifikuje się RNIC iWARP na tym samym Netdev. Katastrofa
jest inaczej: rozpoznawanie trasy na identyfikatorze iWARP nigdy się nie wypełnia
cm_id->route.path_rec i zapisuje przypadek ROUTE_RESOLVED
path_rec[0].sl zanim wywoła transport.

Transport iWARP został porzucony dawno temu i jedyny jest IB
transport pozostał, więc wyjaśnij to wyraźnie: zainicjuj trans do
&rds_ib_transport przy deklaracji porzuć przypisanie warunkowe,
odrzuć żądanie połączenia otrzymane na urządzeniu innym niż IB i upuść a
połączenie, którego adres został rozwiązany na jeden zamiast rozpoznawać a
trasę na nim. Odrzucenie jest ograniczone do RDMA_CM_EVENT_CONNECT_REQUEST
celowo: niezerowy powrót z procedury obsługi powoduje zniszczenie rdma_cm
identyfikator, pod którym zdarzenie zostało dostarczone, odpowiedni dla żądania
świeżo utworzony identyfikator, ale zwolni identyfikator połączenia, który nadal posiada RDS
na jakiekolwiek inne wydarzenie. Po stronie aktywnej identyfikator pozostaje ic->i_cm_id i
zamknięcie połączenia niszczy je, więc case zwraca 0.

[achender: odrzuć tylko na RDMA_CM_EVENT_CONNECT_REQUEST zamiast
ratowanie każdego zdarzenia na urządzeniu innym niż IB, tak że robi to rdma_cm
nie niszcz identyfikatorów połączeń, które RDS nadal śledzi; zerwij połączenie, którego
adres przypisany do urządzenia innego niż IB przed wyznaczeniem na nim trasy;
dostosowany dziennik zmian]

In the Linux kernel, the following vulnerability has been resolved:

net: rds: fix uninitialized trans dereference in CM event handler

rds_rdma_cm_event_handler_cmn() assigns trans only when the RDMA
device is an InfiniBand CA (RDMA_NODE_IB_CA). On any other device
type, e.g. an iWARP RNIC such as siw, trans stays uninitialized, but
the event switch dereferences it: unconditionally in the
RDMA_CM_EVENT_CONNECT_REQUEST case via trans->cm_handle_connect(),
and (with a connection context) in the ROUTE_RESOLVED and
ESTABLISHED cases.

An RDS listener on an iWARP device therefore crashes the kernel as
soon as a connect request arrives: with CONFIG_INIT_STACK_ALL_ZERO
the wild load becomes a NULL dereference at offset 0xa0
(&trans->cm_handle_connect) in the iw_cm_wq workqueue.

GCC masks the bug in default builds by folding the uninitialized
load into &rds_ib_transport; Clang-built kernels take the real
uninitialized path and oops.

The active side can land on a non-IB device too: the id that
rds_ib_conn_path_connect() creates is not restricted to a node type,
so rdma_resolve_addr() binds it to whichever device serves the local
address, and an iWARP RNIC on the same netdev qualifies. The crash
there is different: resolving a route on an iWARP id never fills in
cm_id->route.path_rec, and the ROUTE_RESOLVED case writes
path_rec[0].sl before it calls into the transport.

The iWARP transport was dropped long ago and IB is the only
transport left, so make that explicit: initialize trans to
&rds_ib_transport at declaration, drop the conditional assignment,
reject a connect request that arrives on a non-IB device, and drop a
connection whose address resolved to one instead of resolving a
route on it. The rejection is limited to RDMA_CM_EVENT_CONNECT_REQUEST
on purpose: a non-zero return from the handler makes rdma_cm destroy
the id the event was delivered on, which is right for the request's
freshly created id but would free a connection id that RDS still owns
for any other event. On the active side the id stays ic->i_cm_id and
the connection's shutdown destroys it, so that case returns 0.

[achender: reject only on RDMA_CM_EVENT_CONNECT_REQUEST instead of
bailing out for every event on a non-IB device, so that rdma_cm does
not destroy connection ids RDS still tracks; drop a connection whose
address resolved to a non-IB device before a route is resolved on it;
changelog adjusted]

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve