CVE-2026-46114

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: RDMA/rxe: 8 bayt olmayan ATOMIC_WRITE yükleri reddedilir drivers/infiniband/sw/rxe/rxe_resp.c dosyasındaki atomic_write_reply() fonksiyonu, payload_addr(pkt) konumundaki 8 baytı koşulsuz olarak çözümler: value = *(u64 *)payload_addr(pkt); check_rkey() daha önce, uzunluk doğrulaması yalnızca pktlen ile resid değerlerini karşılaştırdığı için pktlen == resid == 0 olan bir ATOMIC_WRITE isteğini kabul ediyordu. Bu nedenle, RETH uzunluğunu 0 olarak ayarlayan uzak bir başlatıcı, sıfır baytlık mantıksal bir yükle atomic_write_reply() fonksiyonuna ulaşır ve yanıtlayıcı, paketin mantıksal sonunun ötesindeki skb->head tailroom alanından sizeof(u64) bayt okur, ardından bu 8 baytı rxe_mr_do_atomic_write() aracılığıyla saldırganın MR'sine yazar. Bu durum, her denemede çekirdek tailroom alanından 4 baytlık uzak bir bilgi ifşasına yol açar (diğer 4 bayt paketin kendi sondaki ICRC verisidir). IBA oA19-28, ATOMIC_WRITE işlemini tam olarak 8 bayt olarak tanımlar. Bunun dışındaki her şey protokol açısından geçersizdir. Yanıtlayıcının kontrol edilmeyen çözümleme işlemine asla ulaşmaması için check_rkey() içerisine katı bir uzunluk kontrolü eklenmiş ve normal RDMA WRITE yolu için mevcut WRITE ailesi uzunluk mantığı korunmuştur. Değiştirilmemiş bir rxe sürücüsüyle ana hat üzerinde yeniden üretilmiştir: Sürekli yapılan sıfır uzunluklu ATOMIC_WRITE denemeleri; tanınabilir çekirdek dizgeleri ve kısmi çekirdek-doğrudan-eşleme (kernel-direct-map) işaretçi sözcükleri dahil olmak üzere bitişik skb başlık tamponu baytlarını tekrar tekrar saldırganın MR'sine sızdırır. Bu yamanın uygulanmasıyla yanıtlayıcı PDU'yu reddeder ve MR tamamen sıfır kalır.