CVE-2026-23074

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: net/sched: teql-in yalnız kök qdisc kimi istifadə edilməsinin təmin edilməsi teql-in dizayn məqsədi onun yalnız kök qdisc kimi istifadə edilməsidir. Biz bu məhdudiyyətin yoxlanılmasına ehtiyac duyuruq. Vacib olmasa da, maraqlananlar üçün bu problemin üzə çıxdığı ssenarini təsvir edəcəyəm. GangMin Kim <[email protected]> aşağıdakı ssenarini qurmağı bacarmışdır: KÖK qdisc 1:0 (QFQ) ├── class 1:1 (weight=15, lmax=16384) 6.4s gecikməli netem └── class 1:2 (weight=1, lmax=1514) teql GangMin 1:1 (netem)-ə növbəyə daxil olan bir paket göndərir. QFQ tərəfindən bu sinifdən hər hansı dequeue çağırışı 6.4 saniyədən sonra paket qaytarmayacaq. Bu müddət ərzində ikinci bir paket göndərilir və o, 1:2-yə düşür. teql-in enqueue funksiyası uğurlu nəticə qaytaracaq və bu, 1:2 sinfini aktivləşdirəcək. Əsas problem ondadır ki, teql valideyn üçün görünən qlen-i (sch->q.qlen) yalnız dequeue zamanı yeniləyir. QFQ yalnız peek uğurlu olduqda dequeue-nu çağıracağı üçün (və teql-in peek funksiyası həmişə NULL qaytardığı üçün), dequeue heç vaxt çağırılmayacaq və beləliklə qlen 0 olaraq qalacaq. Bunu nəzərə alsaq, GangMin 1:2-nin lmax dəyərini yenilədikdə, qfq_change_class funksiyası qfq_deact_rm_from_agg-ni çağırır. Alt qdisc-in qlen-i artırılmadığı üçün qfq sinfi deaktiv etməkdə uğursuz olur, lakin yenə də aqreqatdan onun göstəricilərini (pointers) azad edir. Beləliklə, birinci paket 6.4 saniyə sonra (netem-in gecikməsi) yenidən planlaşdırıldıqda, asılı göstəriciyə (dangling pointer) müraciət edilir və bu da GangMin-in yaşadığı UAF-a səbəb olur.