CVE-2025-37959

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: bpf: bpf_redirect_peer funksiyasında paketlərin təmizlənməsi (scrubbing) Paketləri digər şəbəkə ad sahəsindəki (network namespace) bir cihaza yönləndirmək üçün bpf_redirect_peer istifadə edildikdə, skb təmizlənmir. Bu, bir ad sahəsindən gələn skb məlumatlarının digər ad sahəsində "yanlış istifadəsinə" səbəb ola bilər. Nümunə olaraq, bu vəziyyət IPsec dekripsiyasından keçmiş paketləri konteyner ad sahəsinə yönləndirmək üçün bpf_redirect_peer istifadə etdikdə Cilium-un trafiki bloklamasına (drop) səbəb olur. Aşağıdakı pwru izi (trace) (1) paketin host-un XFRM təbəqəsindən konteynerin XFRM təbəqəsinə qədər olan yolunu və orada bloklandığını, həmçinin (2) hər funksiyada aktiv skb genişlənmələrinin sayını göstərir: NETNS MARK IFACE TUPLE FUNC 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 xfrm_rcv_cb .active_extensions = (__u8)2, 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 xfrm4_rcv_cb .active_extensions = (__u8)2, 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 gro_cells_receive .active_extensions = (__u8)2, [...] 4026533547 0 eth0 10.244.3.124:35473->10.244.2.158:53 skb_do_redirect .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 ip_rcv .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 ip_rcv_core .active_extensions = (__u8)2, [...] 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 udp_queue_rcv_one_skb .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 __xfrm_policy_check .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 __xfrm_decode_session .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 security_xfrm_decode_session .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 kfree_skb_reason(SKB_DROP_REASON_XFRM_POLICY) .active_extensions = (__u8)2, Bu halda, konteynerin şəbəkə ad sahəsində heç bir XFRM siyasəti yoxdur, buna görə də paketin bloklanması gözlənilməzdir. IPsec paketi dekripsiya etdikdə, dekripsiya üçün istifadə olunan XFRM vəziyyəti skb genişlənmələrində təyin edilir. Bu məlumat netns keçidi zamanı qorunur. Konteynerin netns-ində XFRM siyasət yoxlamasına çatdıqda, __xfrm_policy_check funksiyası paketi LINUX_MIB_XFRMINNOPOLS ilə bloklayır, çünki dekripsiya üçün istifadə olunan (host tərəfli) XFRM vəziyyətinə uyğun (konteyner tərəfli) XFRM siyasəti tapılmır. Bu yamama bpf_redirect_peer istifadə edildikdə, veth cihazları vasitəsilə həyata keçirilən tipik netns keçidlərində olduğu kimi (lakin skb->mark və skb->tstamp sıfırlanmadan) paketin təmizlənməsi yolu ilə problemi həll edir.