CVE-2026-92525

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: RDMA/rxe: wqe->dma.sge[] indekslemeden önce num_sge/cur_sge değerlerini doğrula Bir kullanıcı QP için qp->sq.queue, uygulamanın doğrudan yazdığı bir halkadır; bu nedenle rxe_post_send() fonksiyonu is_user dalına girer ve WQE'yi doğrulamadan yalnızca send_task işlemini planlar. rxe_requester() fonksiyonu bunu req_next_wqe() aracılığıyla olduğu yerde tüketir ve saldırgan tarafından kontrol edilen num_sge/cur_sge ile &wqe->dma.sge[cur_sge] dizisini indeksleyen copy_data() fonksiyonunu çağırır. Yalnızca çekirdek yolu num_sge değerini sınırlar (validate_send_wr()); kullanıcı WQE'si hiçbir zaman kontrol edilmez, bu nedenle yerel yetkisiz bir kullanıcı, kapsam dışı bir cur_sge veya aşırı büyük bir num_sge içeren bir WQE göndererek copy_data() içindeki her WQE'ye özel sge dizisinin sınır dışı okunmasını zorlayabilir (vmalloc OOB okuma, yerel DoS). Kullanımdan önce, get_srq_wqe() fonksiyonunun halihazırda SRQ girişlerini koruduğu şekilde, rxe_requester() içinde num_sge değeri qp->sq.max_sge ile sınırlandırılmıştır ve cur_sge yalnızca WQE yük taşıdığında (dma.resid) sınırlandırılmıştır: copy_data() fonksiyonu, dma->sge[] dizisine erişmeden önce sıfır uzunluktaki kopyalama işleminde erken dönüş yapar, böylece max_sge == 0 olan bir QP'nin gönderebileceği tek tür olan sıfır yüklü bir WQE geçerli kalmaya devam eder. KASAN altında yeniden üretilmiştir; copy_data() içindeki vmalloc-out-of-bounds hatası giderilmiştir.