fix: CVE-2024-53138 · Pull Request !595 · openKylin（孵化期）/linux

# CVE-2024-53138：net/mlx5e: kTLS, Fix incorrect page refcounting

## 结论

**该漏洞已在本仓库 `linux-6.6-next` 分支中修复。** 经核实，上游修复 commit
`dd6e972cc5890d91d6749bb48e3912721c4e4b25`（"net/mlx5e: kTLS, Fix incorrect
page refcounting"）已作为回溯补丁 `e5ec97a60309` 合入本分支基线，工作树当前
即处于已修复状态。本次提交在此基础上补充注释，防止该漏洞被重新引入。

## 漏洞背景

CVE-2024-53138 指出 mlx5e kTLS TX 处理代码混用了两类页面引用计数 API：

- `get_page()` / `put_page()`：引用计数记录在 folio 头页上；
- `page_ref_inc()` / `page_ref_add()` / `page_ref_dec()`：引用计数直接记录在给定 page 上。

在引入大 folio（large folios）支持后（如 NFS large folios，commit
`49b29a573da8`），同一 folio 中的不同 page 不再共享引用计数。混用导致：
获取引用时 `get_page()` 记在 folio 头页、DUMP WQE 路径 `page_ref_add()` 记在
给定 page，而释放路径 `put_page()` 释放 folio 头页，最终 folio 头页被多次解
引用。该问题在 sendfile() + ZC 且文件来自开启大 folio 的 NFS 时被发现。

## 修复现状核实

1. **补丁存在性**：`git merge-base --is-ancestor e5ec97a60309 HEAD` 成功，
   修复提交已在基线历史中（位于 HEAD 之前约 2.3 万个提交）。
2. **代码状态**：`en_accel/ktls_tx.c` 中
   - 第 667 行 `tx_sync_info_get()` 使用 `page_ref_inc()`；
   - 第 770 行 `mlx5e_ktls_tx_handle_resync_dump_comp()` 使用 `page_ref_dec()`；
   - 第 808/816 行 DUMP WQE 路径使用 `page_ref_add()`；
   - 第 828 行 `mlx5e_ktls_tx_handle_ooo()` 错误路径使用 `page_ref_dec()`。
   整个 `en_accel/` 目录已无 `get_page()` / `put_page()` 残留。
3. **释放路径覆盖**：`en_tx.c` 中 `mlx5e_ktls_tx_try_handle_resync_dump_comp()`
   （含 NAPI 与 `mlx5e_free_txqsq_descs()` 两条调用路径）最终均调用上述
   `mlx5e_ktls_tx_handle_resync_dump_comp()`，统一使用 `page_ref_dec()`。
4. **版本核验**：Makefile 显示内核版本为 `6.6.129`，高于 CVE 不受影响列表中
   `6.6.55` 的阈值。

## 本次变更内容

由于漏洞代码本身已被 `e5ec97a60309` 修复，运行时无需任何改动。为防止后续维护
者将该处 `page_ref_inc()` 误改回 `get_page()` 而重新引入 CVE-2024-53138，参照
同一函数错误释放路径（`err_out`）既有的注释风格，在 `tx_sync_info_get()`
获取页面引用处补充一段注释，说明必须将引用计数记在给定 page 自身（而非 folio
头页）上，以与 DUMP WQE 及其完成路径保持一致。**本次仅新增注释，不改变任何
运行时行为。**

## 与任务分析数据的差异说明

任务影响性分析中提到“此仓库的 kernel 为 6.6.48”及“代码文件 5352 行存在漏洞
代码”。实际核实发现：

- 工作树内核版本为 **6.6.129**，并非 6.6.48（任务数据为早期快照）；
- “5352 行”与 CVE-2024-53138 实际涉及的 `en_accel/ktls_tx.c`（约 960 行）
  不符，属任务数据混淆；该引用更接近另一蓝牙相关 CVE 的补丁。

综上，CVE-2024-53138 在本仓库已修复，本次仅补充防回归注释。

openKylin（孵化期） / linux .gitee-modal { width: 500px !important; }

搜索帮助

openKylin（孵化期） / linux