CVE-2026-92525

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: RDMA/rxe: wqe->dma.sge[] indekslənmədən əvvəl num_sge/cur_sge yoxlanılmalıdır İstifadəçi QP üçün qp->sq.queue tətbiqin birbaşa yazdığı halqa (ring) olduğu üçün rxe_post_send() funksiyası is_user budağına keçir və WQE-ni yoxlamadan yalnız send_task tapşırığını təyin edir. rxe_requester() funksiyası req_next_wqe() vasitəsilə onu yerində istehlak edir və copy_data() funksiyasını çağırır; bu funksiya hücumçunun nəzarət etdiyi num_sge/cur_sge ilə &wqe->dma.sge[cur_sge] indeksini istifadə edir. Yalnız nüvə yolu num_sge dəyərini məhdudlaşdırır (validate_send_wr()); istifadəçi WQE heç vaxt yoxlanılmır, buna görə də lokal imtiyazsız istifadəçi diapazondan kənar cur_sge və ya həddindən artıq böyük num_sge olan WQE göndərə bilər və copy_data() funksiyasında hər bir WQE-yə aid sge massivinin sərhədləri kənarında oxunuşu (vmalloc OOB read, lokal DoS) məcburi edə bilər. get_srq_wqe() funksiyasının SRQ girişlərini qoruması kimi, rxe_requester() funksiyasında istifadədən əvvəl num_sge dəyərini qp->sq.max_sge ilə məhdudlaşdırın və cur_sge dəyərini yalnız WQE faydalı yük (dma.resid) daşıdıqda məhdudlaşdırın: copy_data() funksiyası dma->sge[] massivinə toxunmazdan əvvəl sıfır uzunluqlu kopyalama zamanı erkən geri dönür, beləliklə, sıfır yüklü WQE — max_sge == 0 olan QP-nin göndərə biləcəyi yeganə növ — etibarlı qalır. KASAN altında təkrarlandı; copy_data() funksiyasındakı vmalloc-out-of-bounds problemi aradan qaldırıldı.