Vulnerabilidad en net: sock: fix hardened usercopy panic in sock_recv_errqueue (CVE-2026-22977)

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> net: sock: soluciona el pánico de usercopy endurecido en sock_recv_errqueue<br /> <br /> skbuff_fclone_cache fue creada sin definir una región de usercopy,<br /> [1] a diferencia de skbuff_head_cache que incluye correctamente en la lista blanca el campo cb[].<br /> [2] Esto causa un BUG() de usercopy cuando CONFIG_HARDENED_USERCOPY está<br /> habilitado y el kernel intenta copiar datos de sk_buff.cb al espacio de usuario<br /> a través de sock_recv_errqueue() -&amp;gt; put_cmsg().<br /> <br /> El fallo ocurre cuando: 1. TCP asigna un skb usando alloc_skb_fclone()<br /> (de skbuff_fclone_cache) [1]<br /> 2. El skb es clonado a través de skb_clone() usando el fclone preasignado<br /> [3] 3. El skb clonado se encola en sk_error_queue para el reporte de marca de tiempo<br /> 4. El espacio de usuario lee la cola de errores a través de recvmsg(MSG_ERRQUEUE)<br /> 5. sock_recv_errqueue() llama a put_cmsg() para copiar serr-&amp;gt;ee de skb-&amp;gt;cb<br /> [4] 6. __check_heap_object() falla porque skbuff_fclone_cache no tiene una<br /> lista blanca de usercopy [5]<br /> <br /> Cuando los skbs clonados asignados de skbuff_fclone_cache se usan en la<br /> cola de errores del socket, acceder a la estructura sock_exterr_skb en skb-&amp;gt;cb<br /> a través de put_cmsg() desencadena una violación de endurecimiento de usercopy:<br /> <br /> [ 5.379589] usercopy: Intento de exposición de memoria del kernel detectado desde el objeto SLUB &amp;#39;skbuff_fclone_cache&amp;#39; (desplazamiento 296, tamaño 16)!<br /> [ 5.382796] kernel BUG at mm/usercopy.c:102!<br /> [ 5.383923] Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI<br /> [ 5.384903] CPU: 1 UID: 0 PID: 138 Comm: poc_put_cmsg Not tainted 6.12.57 #7<br /> [ 5.384903] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014<br /> [ 5.384903] RIP: 0010:usercopy_abort+0x6c/0x80<br /> [ 5.384903] Code: 1a 86 51 48 c7 c2 40 15 1a 86 41 52 48 c7 c7 c0 15 1a 86 48 0f 45 d6 48 c7 c6 80 15 1a 86 48 89 c1 49 0f 45 f3 e8 84 27 88 ff &amp;lt;0f&amp;gt; 0b 490<br /> [ 5.384903] RSP: 0018:ffffc900006f77a8 EFLAGS: 00010246<br /> [ 5.384903] RAX: 000000000000006f RBX: ffff88800f0ad2a8 RCX: 1ffffffff0f72e74<br /> [ 5.384903] RDX: 0000000000000000 RSI: 0000000000000004 RDI: ffffffff87b973a0<br /> [ 5.384903] RBP: 0000000000000010 R08: 0000000000000000 R09: fffffbfff0f72e74<br /> [ 5.384903] R10: 0000000000000003 R11: 79706f6372657375 R12: 0000000000000001<br /> [ 5.384903] R13: ffff88800f0ad2b8 R14: ffffea00003c2b40 R15: ffffea00003c2b00<br /> [ 5.384903] FS: 0000000011bc4380(0000) GS:ffff8880bf100000(0000) knlGS:0000000000000000<br /> [ 5.384903] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033<br /> [ 5.384903] CR2: 000056aa3b8e5fe4 CR3: 000000000ea26004 CR4: 0000000000770ef0<br /> [ 5.384903] PKRU: 55555554<br /> [ 5.384903] Call Trace:<br /> [ 5.384903] <br /> [ 5.384903] __check_heap_object+0x9a/0xd0<br /> [ 5.384903] __check_object_size+0x46c/0x690<br /> [ 5.384903] put_cmsg+0x129/0x5e0<br /> [ 5.384903] sock_recv_errqueue+0x22f/0x380<br /> [ 5.384903] tls_sw_recvmsg+0x7ed/0x1960<br /> [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5<br /> [ 5.384903] ? schedule+0x6d/0x270<br /> [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5<br /> [ 5.384903] ? mutex_unlock+0x81/0xd0<br /> [ 5.384903] ? __pfx_mutex_unlock+0x10/0x10<br /> [ 5.384903] ? __pfx_tls_sw_recvmsg+0x10/0x10<br /> [ 5.384903] ? _raw_spin_lock_irqsave+0x8f/0xf0<br /> [ 5.384903] ? _raw_read_unlock_irqrestore+0x20/0x40<br /> [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5<br /> <br /> El desplazamiento de fallo 296 corresponde a skb2-&amp;gt;cb dentro de skbuff_fclones:<br /> - sizeof(struct sk_buff) = 232 - offsetof(struct sk_buff, cb) = 40 -<br /> desplazamiento de skb2.cb en fclones = 232 + 40 = 272 - desplazamiento de fallo 296 =<br /> 272 + 24 (dentro de sock_exterr_skb.ee)<br /> <br /> Este parche utiliza una variable de pila local como un búfer de rebote para evitar el fallo de la comprobación de usercopy endurecido.<br /> <br /> [1] https://elixir.bootlin.com/linux/v6.12.62/source/net/ipv4/tcp.c#L885<br /> [2] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5104