CVE-2025-39703

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: net, hsr: əgər skb teqi saxlaya bilmirsə, HSR freymini rədd et skb-də HSR teqini saxlamaq üçün kifayət qədər yer olmadıqda HSR freyminin qəbul edilməsi sistemin çökməsinə (kernel BUG) səbəb ola bilər: [ 45.390915] skbuff: skb_under_panic: text:ffffffff86f32cac len:26 put:14 head:ffff888042418000 data:ffff888042417ff4 tail:0xe end:0x180 dev:bridge_slave_1 [ 45.392559] ------------[ cut here ]------------ [ 45.392912] kernel BUG at net/core/skbuff.c:211! [ 45.393276] Oops: invalid opcode: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 45.393809] CPU: 1 UID: 0 PID: 2496 Comm: reproducer Not tainted 6.15.0 #12 PREEMPT(undef) [ 45.394433] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 45.395273] RIP: 0010:skb_panic+0x15b/0x1d0 <registrlər kəsilib, etibarsız izlər silinib> [ 45.402911] Call Trace: [ 45.403105] <IRQ> [ 45.404470] skb_push+0xcd/0xf0 [ 45.404726] br_dev_queue_push_xmit+0x7c/0x6c0 [ 45.406513] br_forward_finish+0x128/0x260 [ 45.408483] __br_forward+0x42d/0x590 [ 45.409464] maybe_deliver+0x2eb/0x420 [ 45.409763] br_flood+0x174/0x4a0 [ 45.410030] br_handle_frame_finish+0xc7c/0x1bc0 [ 45.411618] br_handle_frame+0xac3/0x1230 [ 45.413674] __netif_receive_skb_core.constprop.0+0x808/0x3df0 [ 45.422966] __netif_receive_skb_one_core+0xb4/0x1f0 [ 45.424478] __netif_receive_skb+0x22/0x170 [ 45.424806] process_backlog+0x242/0x6d0 [ 45.425116] __napi_poll+0xbb/0x630 [ 45.425394] net_rx_action+0x4d1/0xcc0 [ 45.427613] handle_softirqs+0x1a4/0x580 [ 45.427926] do_softirq+0x74/0x90 [ 45.428196] </IRQ> Bu problem syzkaller tərəfindən aşkar edilmişdir. Panic halı, br_dev_queue_push_xmit() funksiyasında, ETH başlığı artıq xətti məlumatlara daxil edilmiş korlanmış bir skb qəbul edildikdə baş verir. skb_push() çağırışı cəhd edildikdə, kifayət qədər boş sahə (headroom) olmadığı üçün skb_push() panic törədir. Korlanmış skb, HSR təbəqəsi tərəfindən növbəyə əlavə edilir; bu təbəqə spesifik korlanmış HSR freymi (natamam TAG ilə) qəbul etdikdə bir sıra gözlənilməz transformasiyalar həyata keçirir. Problem, həm ethernet, həm də hsr başlıqlarını ehtiva etmək üçün kifayət qədər uzun olmayan freymlərin atılması və istehlak edilməsi ilə həll olunur. Alternativ həll yolu br_dev_queue_push_xmit() funksiyasında skb_push()-dən əvvəl kifayət qədər boş sahənin olub-olmadığını yoxlamaqdır. Reproducer-də bu, AF_PACKET vasitəsilə injeksiya edilir, lakin bunun qonşu şəbəkədən ötürülməsinin mümkün olmadığına dair heç bir maneə görünmür. Ətraflı məlumat: Reproducer-də aşağıdakı şəbəkə interfeys zənciri qurulmuşdur: ┌────────────────┐ ┌────────────────┐ │ veth0_to_hsr ├───┤ hsr_slave0 ┼───┐ └────────────────┘ └────────────────┘ │ │ ┌──────┐ ├─┤ hsr0 ├───┐ │ └──────┘ │ ┌────────────────┐ ┌────────────────┐ │ │┌────────┐ │ veth1_to_hsr ┼───┤ hsr_slave1 ├───┘ └┤ │ └────────────────┘ └────────────────┘ ┌┼ bridge │ ││ │ │└────────┘ │ ┌───────┐ │ │ ... ├──────┘ └───────┘ Çökməyə səbəb olan hadisələri tetikləmək üçün reproducer korlanmış HSR fr...