وصله امنیتی هسته لینوکس برای آسیب‌پذیری شبکه Zerocopy که Open vSwitch را تحت تاثیر قرار می‌دهد

در ۱۱ سپتامبر ۲۰۲۶، نگهدارندگان هسته لینوکس آسیب‌پذیری CVE-2026-80977 را که یک باگ هم‌زمانی (race condition) با شدت بالا در پشته اصلی شبکه سیستم‌عامل بود، افشا و برطرف کردند. این آسیب‌پذیری که امتیاز پایه ۷.۴ از ۱۰.۰ را در سیستم امتیازدهی CVSS یدک می‌کشد، ریشه در نحوه مدیریت حافظه توسط هسته در حین انتقال پرسرعت شبکه موسوم به zero-copy دارد. برخلاف آنچه ممکن است در بوق و کرنا به عنوان یک نقص معماری فاجعه‌بار مطرح شود، این باگ در واقع یک خطای همگام‌سازی بسیار خاص در شبیه‌سازی بافر سوکت بود؛ مکانیزمی که زیرساخت‌های شبکه مجازی‌سازی‌شده مانند Open vSwitch برای مسیریابی بسته‌ها در رابط‌های ۱۰ و ۱۰۰ گیگابیتی به شدت به آن وابسته‌اند.[2][5][6]

ریشه این مشکل در تابع skb_tx_error() بود که خطاهای حین انتقال بسته را مدیریت می‌کند. در شبکه‌های مدرن لینوکس، برای بهینه‌سازی عملکرد، هسته تا حد امکان از کپی کردن داده‌ها بین فضاهای حافظه خودداری کرده و از رویکرد «بدون کپی» (zero-copy) استفاده می‌کند. زمانی که یک بسته نیاز به تکثیر دارد - مثلاً وقتی Open vSwitch یک جریان را با استفاده از دستور OVS_ACTION_ATTR_RECIRC بازگردانی می‌کند - هسته یک «کلون» یا نسخه مشابه از بافر سوکت (skb) می‌سازد که محموله داده‌های زیرین را با بافر اصلی به اشتراک می‌گذارد.[4][5][6]

این آسیب‌پذیری زمانی فعال می‌شد که خطایی در یکی از این بسته‌های کلون‌شده رخ می‌داد، در حالی که بسته اصلی هنوز در حال انتقال بود. تابع skb_tx_error() پرچم‌های وضعیت zerocopy مشترک را پاک می‌کرد و پیش از موعد به تولیدکننده سیگنال می‌داد که صفحات حافظه آزاد هستند. از آنجا که بافر کلون‌شده و بافر اصلی دقیقاً ساختار متادیتا یکسانی (skb_shinfo) را به اشتراک می‌گذاشتند، این اقدام به طور ناخواسته نشانگرهای حیاتی را از بسته اصلی که هنوز در حال ارسال بود، حذف می‌کرد.[2][4][5]

این آزادسازی زودهنگام، یک سناریوی کلاسیک استفاده پس از آزادسازی (use-after-free) ایجاد کرد که با شناسه CWE-416 ردیابی می‌شود. اگر یک تحویل محلی Encapsulating Security Payload (ESP) متعاقباً سعی در رمزگشایی بسته داشت، این کار را در همان مکان روی بخش‌هایی از حافظه انجام می‌داد که دیگر به طور انحصاری در اختیارش نبود. در حالی که تحلیلگران VulDB اشاره کردند که سوءاستفاده از راه دور از نظر تئوری امکان‌پذیر است، اما در دنیای واقعی هیچ اکسپلویت فعالی مشاهده نشده است و پیچیدگی تنظیم دقیق این باگ هم‌زمانی، تبدیل آن به یک سلاح قابل اتکا را بسیار دشوار می‌کند.[2][4][5]

راه‌حلی که در درخت هسته ادغام شده، به طرز قابل‌توجهی ساده است: زیرسیستم شبکه اکنون به سادگی از این تغییر وضعیت zerocopy برای بافرهای سوکت کلون‌شده چشم‌پوشی می‌کند. در مستندات کامیت هسته توضیح داده شده است: «هیچ چیزی از دست نمی‌رود: تابع skb_release_data() وضعیت zerocopy را زمانی پاک می‌کند که آخرین ارجاع به داده‌های مشترک از بین برود.» با به تعویق انداختن این پاک‌سازی، هسته تضمین می‌کند که وضعیت مشترک تا زمانی که تمام کلون‌ها پردازش شوند، دست‌نخورده باقی می‌ماند.[5][6]

این وصله به شاخه‌های پایدار هسته، از جمله نسخه‌های ۶.۱۲.۱۰۹، ۶.۱۸.۵۰ و ۷.۲.۴ بک‌پورت (backport) شده است و عملاً پنجره حملات احتمالی منع سرویس (DoS) علیه محیط‌های مسیریابی مجازی را می‌بندد. برای کاربران سازمانی، خطر فوری در حداقل ممکن به نظر می‌رسد. شرکت ردهت در ۱۱ سپتامبر در ردیاب Bugzilla خود اعلام کرد: «امنیت محصول ردهت تشخیص داده است که این آسیب‌پذیری هیچ‌یک از محصولات تحت پشتیبانی فعلی ردهت را تحت تأثیر قرار نمی‌دهد.» برای اپراتورهای زیرساخت، این حادثه تنش ذاتی بین بهینه‌سازی تهاجمی حافظه و ایمنی ریسمان (thread safety) در پردازش همزمان شبکه را برجسته می‌کند.[2][4][6]

شناسایی و وصله سریع این آسیب‌پذیری، بلوغ دستگاه امنیتی هسته لینوکس را نشان می‌دهد. نگهدارندگان هسته با پرداختن به علت اصلی در چرخه حیات بافر سوکت به جای غیرفعال کردن کامل ویژگی‌های zero-copy، توانستند قابلیت‌های توان عملیاتی بالایی را که محیط‌های ابری مدرن واقعاً به آن نیاز دارند، حفظ کنند.[6]

در ادامه مسیر، به مدیران شبکه‌ای که ماژول‌های هسته سفارشی یا خارج از درخت (out-of-tree) را اجرا می‌کنند و تعامل زیادی با Open vSwitch دارند، توصیه می‌شود سطح وصله‌های خود را بررسی کنند. در حالی که توزیع‌های جریان اصلی پیش‌تر این اصلاحیه را جذب کرده‌اند، استقرارهای لبه (edge) که از هسته‌های قدیمی‌تر و وصله‌نشده استفاده می‌کنند، از نظر تئوری همچنان در معرض این باگ هم‌زمانی قرار دارند.[1][3][6]