CVE-2026-23397

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: nfnetlink_osf: barmaq izlərində təkrar seçimlərin uzunluğunu yoxlayın nfnl_osf_add_callback() funksiyası opt_num sərhədlərini və sətirin NUL ilə sonlanmasını yoxlayır, lakin hər bir seçim uzunluğu sahələrini yoxlamır. Sıfır uzunluqlu seçim, foptsize cəmi sıfır olduqda belə nf_osf_match_one()-in seçim uyğunlaşdırma dövrünə daxil olmasına səbəb olur ki, bu da ctx->optp NULL olduğu halda heç bir TCP seçimi olmayan paketlərlə uyğunlaşma yaradır: Oops: general protection fault KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] RIP: 0010:nf_osf_match_one (net/netfilter/nfnetlink_osf.c:98) Call Trace: nf_osf_match (net/netfilter/nfnetlink_osf.c:227) xt_osf_match_packet (net/netfilter/xt_osf.c:32) ipt_do_table (net/ipv4/netfilter/ip_tables.c:293) nf_hook_slow (net/netfilter/core.c:623) ip_local_deliver (net/ipv4/ip_input.c:262) ip_rcv (net/ipv4/ip_input.c:573) Əlavə olaraq, uzunluğu 4-dən kiçik olan MSS seçimi (kind=2), nf_osf_match_one() funksiyasının MSS dəyərinin çıxarılması üçün şərtsiz olaraq optp[2] və optp[3]-ə müraciət etməsi zamanı sərhədlərdən kənar oxumalara (out-of-bounds reads) səbəb olur. RFC 9293 bölmə 3.2-də MSS seçiminin həmişə tam olaraq 4 bayt (Kind=2, Length=4) olduğu qeyd edilsə də, yoxlama zamanı "!= 4" əvəzinə "< 4" istifadə olunur, çünki 4-dən böyük uzunluqlar yaddaş təhlükəsizliyi problemləri yaratmır — buferin ölçüsünün ən azı foptsize bayt olması ctx->optsize == foptsize yoxlaması ilə təmin edilir. Paket uyğunlaşdırma kritik yolunda (hot path) bu dəyərlərə güvənmək əvəzinə, əlavə edilmə zamanı hər hansı seçimin uzunluğu sıfır olan və ya MSS seçiminin uzunluğu 4-dən kiçik olan barmaq izlərini rədd edin.