CVE-2026-46114

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: RDMA/rxe: 8 bayt olmayan ATOMIC_WRITE fayllarının (payload) rədd edilməsi drivers/infiniband/sw/rxe/rxe_resp.c faylındakı atomic_write_reply() funksiyası şərtsiz olaraq payload_addr(pkt)-dəki 8 baytı istifadə edir (dereference): value = *(u64 *)payload_addr(pkt); Əvvəllər check_rkey() funksiyası pktlen == resid == 0 olan ATOMIC_WRITE sorğusunu qəbul edirdi, çünki uzunluğun yoxlanılması yalnız pktlen və resid arasındakı müqayisədən ibarət idi. Buna görə də, RETH uzunluğunu 0 təyin edən uzaq başladıcı (initiator), sıfır baytlı məntiqi fayl ilə atomic_write_reply() funksiyasına çatır və cavab verən tərəf paketinin məntiqi sonundan kənar skb->head tailroom hissəsindən sizeof(u64) baytı oxuyur, daha sonra həmin 8 baytı rxe_mr_do_atomic_write() vasitəsilə hücumçunun MR-nə yazır. Bu, hər bir sınaq zamanı nüvənin tailroom hissəsindən 4 baytın uzaqdan ifşası deməkdir (digər 4 bayt paketin özünün sonuncu ICRC-sidir). IBA oA19-28 standartı ATOMIC_WRITE-ı dəqiq 8 bayt kimi təyin edir. Bundan başqa hər şey protokol baxımından yanlışdır. Cavab verən tərəfin yoxlanılmamış dereference əməliyyatına heç vaxt çatmaması üçün check_rkey() funksiyasına ciddi uzunluq yoxlaması əlavə edildi və normal RDMA WRITE yolu üçün mövcud WRITE ailəsi uzunluq məntiqi saxlanıldı. Dəyişdirilməmiş rxe drayveri ilə mainline versiyasında təkrarlandı: davamlı sıfır uzunluqlu ATOMIC_WRITE sınağı, tanınan nüvə sətirləri və qismən nüvə-birbaşa-xəritə (kernel-direct-map) göstəriciləri sözləri də daxil olmaqla, bitişik skb head-buffer baytlarını təkrarən hücumçunun MR-nə sızdırır. Bu yamanın tətbiqi ilə cavab verən tərəf PDU-nu rədd edir və MR tamamilə sıfır qalır.