CVE-2026-53362

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: contabilizar fraggap en la ruta de asignación paginada En __ip6_append_data(), cuando se toma la rama de asignación paginada (MSG_MORE / NETIF_F_SG / large fraglen), alloclen y pagedlen se calculan como alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen ya incluye fraggap (datalen = length + fraggap). Cuando fraggap no es cero, este no es el primer skb y transhdrlen es cero. Los bytes fraggap arrastrados desde el skb anterior se copian justo después de las cabeceras del fragmento en el área lineal del nuevo skb. Por lo tanto, el área lineal es menor en fraggap bytes mientras que pagedlen está sobredimensionado por la misma cantidad, y la copia escribe más allá de skb->end, dentro de skb_shared_info. Un usuario sin privilegios puede activar esto mediante un socket UDPv6 usando MSG_MORE junto con MSG_SPLICE_PAGES. La contabilización incorrecta fue introducida por el commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Antes del commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), el valor de copia negativo provocaba que se devolviera -EINVAL. Ese commit posterior permitió que MSG_SPLICE_PAGES continuara en este caso, haciendo que la corrupción pudiera activarse. La rama no paginada establece alloclen en fraglen, que ya tiene en cuenta fraggap porque datalen lo hace. Alinear la rama paginada añadiendo fraggap a alloclen y restándolo de pagedlen. Después de este ajuste, la copia ya no se reduce a -fraggap en la ruta paginada, por lo que se elimina el comentario obsoleto que describe esa antigua aritmética. Puesto que ya no se espera una copia negativa para un caso válido de MSG_SPLICE_PAGES, se elimina la excepción de MSG_SPLICE_PAGES de la comprobación de copia negativa.