CVE-2026-43284: Decryption ESP insicura su frammenti condivisi

Il CVE-2026-43284 è una vulnerabilità nel kernel Linux che riguarda il percorso di decrittazione ESP (Encapsulating Security Payload). La falla consente di decriptare dati in-place su frammenti di socket buffer che non sono propriamente posseduti dallo skb, bensì condivisi da una pipe UDP tramite MSG_SPLICE_PAGES. Questo colpisce sistemi che usano IPsec con UDP, dove le pagine di pipe vengono allegate direttamente al buffer di rete.

La vulnerabilità ha un punteggio CVSS di 8,8 (high) ed è stata pubblicata ufficialmente il 2026-05-08. A novembre 2026 sono emersi segnali concreti pubblicamente: in repository GitHub sono stati segnalati moduli di mitigazione specifici per dispositivi Android Galaxy S25 che privatizzano i buffer di ricezione ESP. Questi segnali indicano che la falla è nota e potenzialmente sfruttata in ambienti reali.

Gli amministratori di sistemi Linux che usano IPsec con ESP devono verificare l'applicazione di patch al kernel. La correzione richiede di marcare i frammenti condivisi con il flag SKBFL_SHARED_FRAG e di ricorrere a skb_cow_data() quando il flag è presente, impedendo a ESP di decriptare in-place su buffer condivisi. Verificare gli aggiornamenti dal distributore attraverso i canali ufficiali e, se IPsec non è necessario in produzione, disabilitarlo fino a quando le patch non siano applicate e verificate.