CVE-2026-89482

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: nvme-tcp: yalnız blk_rq_payload_bytes() əsasında C2HData qəbul etməyin qarşısını alın Commit 25e5cb780e62 ("nvme-tcp: fix possible crash in write_zeroes processing") müəyyən etmişdir ki, blk_rq_nr_phys_segments() yoxlanılmadan blk_rq_payload_bytes() oxunmamalıdır və nəticə nvme_tcp_setup_cmd_pdu() funksiyasında req->data_len kimi qeyd edilmişdir. Qəbul tərəfi isə olduğu kimi saxlanılmışdı. REQ_OP_WRITE_ZEROES üçün bu iki dəyər fərqlidir, çünki onun fiziki seqmentləri yoxdur, lakin sıfırdan fərqli blk_rq_bytes() dəyəri var; buna görə də setup prosesi req->iter dəyişənini toxunulmaz saxlayır, lakin qəbul şluzu C2HData-nın keçməsinə icazə verir və nvme_tcp_recv_data() həmin teqdəki əvvəlki komandanın qoyduğu məlumatın üzərinə kopyalama aparır. Drayverə məxsus xüsusi sahə yalnız teq dəsti ayrıldıqda sıfırlanır. Teq üzərində qalıq iterator saxlayan və sonra eyni teq üzərindən WRITE_ZEROES komandası üçün C2HData göndərən test hədəfi ilə problem təkrarlanmışdır: BUG: KASAN: wild-memory-access in _copy_to_iter+0x642/0x1330 Write of size 512 at addr ffe728c2175dfa81 by task kworker/0:1H/103 CPU: 0 UID: 0 PID: 103 Comm: kworker/0:1H Not tainted 7.2.0-rc5-NVMETCP-gf5098b6bae76 #1 PREEMPT(lazy) Hardware name: QEMU Ubuntu 24.04 PC v2 (i440FX + PIIX, arch_caps fix, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Workqueue: nvme_tcp_wq nvme_tcp_io_work Call Trace: <TASK> dump_stack_lvl+0x53/0x70 kasan_report+0xce/0x100 ? _copy_to_iter+0x642/0x1330 kasan_check_range+0x105/0x1b0 __asan_memcpy+0x3c/0x60 _copy_to_iter+0x642/0x1330 ? __pfx_sock_has_perm+0x10/0x10 ? worker_thread+0x45b/0xd10 ? __pfx__copy_to_iter+0x10/0x10 ? _raw_spin_lock_bh+0x83/0xe0 ? __pfx__raw_spin_lock_bh+0x10/0x10 __skb_datagram_iter+0xf3/0x820 ? __pfx_simple_copy_to_iter+0x10/0x10 ? __asan_memcpy+0x3c/0x60 ? skb_copy_bits+0x58d/0x830 skb_copy_datagram_iter+0x37/0x120 nvme_tcp_recv_skb+0xa07/0x4320 ? __pfx_nvme_tcp_recv_skb+0x10/0x10 __tcp_read_sock+0x1ab/0x810 ? __pfx_nvme_tcp_recv_skb+0x10/0x10 ? __pfx_lock_sock_nested+0x10/0x10 ? __pfx___tcp_read_sock+0x10/0x10 nvme_tcp_try_recv+0x152/0x1e0 ? __pfx_nvme_tcp_try_recv+0x10/0x10 ? __pfx_mutex_unlock+0x10/0x10 nvme_tcp_io_work+0x1e4/0x6c0 ? __schedule+0x181a/0x49f0 ? __pfx_nvme_tcp_io_work+0x10/0x10 process_one_work+0x633/0x1030 blk_rq_payload_bytes() testi saxlanılır və ona req->data_len əlavə edilir. Köhnə test artıq aktiv olmayan teqi göstərən C2HData-nı rədd edir, çünki blk_update_request() tamamlandıqda rq->__data_len dəyərini sıfırlayır; req->data_len və req->curr_bio drayverə məxsusdur və tamamlanmadan sonra da qalır, buna görə də onlar bunu əvəz edə bilməzlər. Setup prosesi iteratoru yalnız həm req->curr_bio, həm də req->data_len təyin edildikdə başladır, beləliklə, şluz indi həmin iki parametri yoxlayır.