Tariq Toukan

O problema ocorre no componente net/mlx5e do kernel Linux, especificamente com o recurso SHAMPO. Quando todos os strides em um Elemento da Fila de Trabalho (WQE) são consumidos, o WQE é desvinculado da lista encadeada da Fila de Trabalho (WQ) usando a função `mlx5 wq ll pop()`. No entanto, para o SHAMPO, é possível receber Entradas da Fila de Conclusão (CQEs) com 0 strides consumidos para o mesmo WQE, mesmo após ele ter sido totalmente consumido e desvinculado. Isso aciona uma desvinculação adicional para o mesmo WQE, corrompendo a lista vinculada. A correção envolve aceitar strides consumidos de tamanho 0 sem desvincular o WQE novamente.

O problema ocorre no módulo net/mlx5e do kernel do Linux, especificamente com o recurso SHAMPO (Shared Header And Memory Pool Optimization). Sob certas condições, um novo skb (buffer de soquete) é formado com uma página de dados regular em vez de uma página de cabeçalho SHAMPO. Posteriormente, na função `mlx5e handle rx cqe mpwrq shampo()`, uma página de cabeçalho SHAMPO é liberada do `header index`. Isso leva à liberação de páginas de cabeçalho SHAMPO mais de uma vez, o que é incorreto. As condições para que isso ocorra são: 1) nenhum skb foi criado ainda, 2) `header size` é igual a 0 (indicando ausência de cabeçalho SHAMPO) e 3) `header index + 1 % MLX5E SHAMPO WQ HEADER PER PAGE` é igual a 0, marcando o último fragmento de página de uma página de cabeçalho SHAMPO.

The issue allows local users to gain privileges or cause a denial of service (use-after-free) by leveraging improper access to a certain error field in the ext4 journal stop function.