CVE-2026-93107

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: RDMA/rxe: QP hata durumuna girdikten sonra mevcut paketin yeniden işlenmesinin önlenmesi do_complete() fonksiyonu QP'yi hata durumunda bulduğunda RESPST_CHK_RESOURCE döndürür. 49dc9c1f0c7e ("RDMA/rxe: Cleanup reset state handling in rxe_resp.c") commit'inden önce flush döngüsü şu şekildeydi: check_resource() fonksiyonunun, mevcut pakete dokunmadan kalan her bir recv WQE'sini alan ve bunu IB_WC_WR_FLUSH_ERR ile tamamlayan bir hata durumu dalı vardı. Söz konusu commit, check_resource()'dan hata durumu dalını kaldırmış (boşaltma işlemi artık rxe_receiver() girişinde yapılmaktadır) ancak do_complete() hata durumu dönüşünü korumuştur. Sonuç olarak, bir paket tamamlanırken bir QP hata durumuna geçtiğinde - örneğin, receive işlemesiyle yarışan bir rdma_cm bağlantı kesilmesi sırasında - yanıtlayıcı durum makinesi, halihazırda tamamlanmış olan paket hala elindeyken istek işleme zincirine geri döner: check_resource() yeni bir recv WQE alır, execute()/send_data_in() aynı paket yükünü tekrar kopyalar, do_complete() başka bir IB_WC_SUCCESS CQE yayınlar (qp->resp.status hala 0'dır) ve kontrol hata durumu kontrolüne döner. Döngü, RQ tükenene kadar yayınlanan her bir recv WQE başına aynı paketi bir kez yeniden yürütür (gözlemlenen: tek bir SEND için yaklaşık 1000 yinelenen IB_WC_SUCCESS tamamlaması, her biri yaklaşık 8us aralıkla, RQ doluluğuyla eşleşmektedir); ardından qp->resp.wqe NULL olur ve send_data_in() bunu dereference eder: BUG: kernel NULL pointer dereference, address: 0000000000000014 Workqueue: rxe_wq do_work RIP: copy_data+0x29/0x1f0 Call Trace: send_data_in+0x25/0x50 rxe_receiver+0xf36/0x1dd0 Yinelenen tamamlamalar, ULP için gerçek alımlardan ayırt edilemez. Bir rds stres testi sırasında mesaj yeniymiş gibi kabul edilmiş ve aynı veri bloğunu kullanıcı alanına yüzlerce kez ileterek akışı bozmuştur; RC tam olarak bir kez teslimata güvenen tüm ULP'ler bundan etkilenir. do_complete() içindeki hata durumu kontrolüne ulaşan canlı bir paket tam olarak bir kez yürütülmüş ve tamamlanmıştır; bu nedenle yeniden işlenmemeli, tüketilmelidir. Bunun için RESPST_CLEANUP döndürün (kuyruktan çıkarın ve serbest bırakın); pkt == NULL durumu için RESPST_CHK_RESOURCE döndürmeye devam edin.