原文

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: tls: sk_msgリングのラップ時のsg_chainエントリ数のオフバイワンを修正しました。sk_msgのscatterlistリングがラップするとき（sg.end ＜ sg.start）、tls_push_record()はsg_chain()を使ってリングの末尾部分を先頭に連結します。このため、sg配列には追加のエントリが予約されています。 struct sk_msg_sg { [...] /* 追加の2つの要素： * 1) リストが分割される（例：end ＜ start）際に、前部分と後部分を連結するために使われます。暗号APIはこの連結を要求しています。 * 2) メッセージ後にテールのSGエントリを連結するためです。 */ struct scatterlist data[MAX_MSG_FRAGS + 2];現在のコードではリングサイズとしてMAX_SKB_FRAGS + 1を使用しています。 sg_chain(&msg_pl-＞sg.data[msg_pl-＞sg.start], MAX_SKB_FRAGS - msg_pl-＞sg.start + 1, msg_pl-＞sg.data);これによりチェインポインタは以下のように配置されてしまい、真の最後のエントリではありません。 sg_chain(data[start], (MAX_SKB_FRAGS - start + 1)) = &data[start] + (MAX_SKB_FRAGS - start + 1) - 1 = data[start + (MAX_SKB_FRAGS - start + 1) - 1] = data[MAX_SKB_FRAGS]これは、おそらくFixesがcommit 031097d9e079（"bpf: sk_msg, zap ingress queue on psock down"）に近い状態で適用された「競合」が原因です。提案された方法としては、Sabrinaの指摘に従い、data[start]や-startを削除し、ARRAY_SIZEを使うように変更してください。