CVE-2026-53362

Nel kernel Linux, la seguente vulnerabilità è stata risolta: ipv6: tenere conto di fraggap nel percorso di allocazione paginata In __ip6_append_data(), quando viene intrapreso il ramo di allocazione paginata (MSG_MORE / NETIF_F_SG / fraglen grande), alloclen e pagedlen sono calcolati come alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen include già fraggap (datalen = length + fraggap). Quando fraggap è diverso da zero, questo non è il primo skb e transhdrlen è zero. I byte di fraggap riportati dallo skb precedente vengono copiati subito dopo gli header di frammento nell'area lineare del nuovo skb. L'area lineare è quindi sottodimensionata di fraggap byte mentre pagedlen è sovrastimato dello stesso importo, e la copia scrive oltre skb->end nello skb_shared_info in coda. Un utente non privilegiato può attivare il problema tramite un socket UDPv6 usando MSG_MORE insieme a MSG_SPLICE_PAGES. Il conteggio errato è stato introdotto dal commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Prima del commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), il valore negativo di copy causava la restituzione di -EINVAL. Quel commit successivo ha consentito a MSG_SPLICE_PAGES di procedere in questo caso, rendendo attivabile la corruzione. Il ramo non paginato imposta alloclen a fraglen, che tiene già conto di fraggap perché lo fa datalen. Allineare il ramo paginato aggiungendo fraggap a alloclen e sottraendolo da pagedlen. Dopo questa correzione, copy non collassa più a -fraggap nel percorso paginato, quindi rimuovere il commento obsoleto che descrive quella vecchia aritmetica. Poiché non è più previsto un copy negativo per un caso valido di MSG_SPLICE_PAGES, rimuovere l'eccezione di MSG_SPLICE_PAGES dal controllo di copy negativo.