北京
Linux內核IPv6的UDP封堵（corking）路徑中潛伏著一個寫入越界漏洞（CVE-2026-53362）。攻擊者只需15字節的溢出，就能直接踩踏到網絡緩沖區（skb）里用來管理分片的共享信息結構skb_shared_info。漏洞于近期修復，涉及commit 736b380e28d0，內核配置只需開啟CONFIG_IPV6=y即可觸及。
UDP封堵的目的是將多次send調用攢成一個數據報。當這個數據報跨越一個分片邊界時，__ip6_append_data()會把前一個skb中超出的字節記為fraggap，并在下一個skb的線性區為其預留空間。正常的邏輯應該是：fraggap作為新skb線性區的一部分，必須從頁外數據長度（pagedlen）中扣除。但存在漏洞的代碼恰好相反——它把fraggap從線性數據區劃掉，反而加進了pagedlen，導致copy計算變為負值，而用于保護負copy檢查的邏輯在MSG_SPLICE_PAGES標志被置位時又被跳過了。
最終，內核在未預留足夠線性空間的情況下，將fraggap的內容復制到了skb的尾部，這15字節直接落在skb_shared_info的起始位置。攻擊者可以借機偽造shinfo->nr_frags等字段，使得后續的分片數組引用指向堆上殘留的pipe page地址。觸發這一流程需要結合splice系統調用：splice_to_socket()在構造bvec迭代器時會自動設置MSG_SPLICE_PAGES；如果同時傳入SPLICE_F_MORE并配合UDP_CORK，第一個skb就會留在寫隊列中，為越界寫創造窗口。
這一記賬錯誤源于同一段字節在不同處理分支中被視為線性數據或外部數據。datalen的計算包含了fraggap，但負責分配線性空間的alloclen卻沒有考慮它；接著pagedlen又從包含了fraggap的datalen中導出，最終使得內核在“已分配”的假象下執行了過量的線性拷貝。事件在commit 773ba4fe9104中引入錯誤的計數，又在ce650a166335之后變得可通過MSG_SPLICE_PAGES穩定觸發，修補則在736b380e28d0中落定。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
