CVE-2026-31415

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: ipv6: ip6_datagram_send_ctl() funksiyasında daşmaların qarşısının alınması Yiming Qian bildirmişdir ki: IPv6 sendmsg ancillary-data yolunda lokal olaraq tetiklene bilən və `skb_under_panic()` vasitəsilə nüvəni panikaya salan (lokal DoS) bir nüvə xətası tapmışdır. Əsas problem çox sayda `IPV6_DSTOPTS` idarəetmə mesajları (cmsgs) təqdim edildikdə aşağıdakılar arasındakı uyğunsuzluqdur: - 16 bitlik uzunluq akkumulyatoru (`struct ipv6_txoptions::opt_flen`, tipi `__u16`) və - Təqdim edilmiş sonuncu təyinat seçimləri başlığına göstərici (`opt->dst1opt`) - `include/net/ipv6.h`: - `struct ipv6_txoptions::opt_flen` dəyişəni `__u16` tipindədir (daşma mümkündür). (sətirlər 291-307, xüsusilə 298) - `net/ipv6/datagram.c:ip6_datagram_send_ctl()`: - Təkrarlanan `IPV6_DSTOPTS` mesajlarını qəbul edir və dublikatları rədd etmədən `opt_flen`-ə əlavə edir. (sətirlər 909-933) - `net/ipv6/ip6_output.c:__ip6_append_data()`: - Başlıq ölçülərini və boş sahə (headroom) qərarlarını hesablamaq üçün `opt->opt_flen + opt->opt_nflen` ifadəsindən istifadə edir. (sətirlər 1448-1466, xüsusilə 1463-1465) - `net/ipv6/ip6_output.c:__ip6_make_skb()`: - Əgər `opt->opt_flen` sıfırdan fərqlidirsə, `ipv6_push_frag_opts()` funksiyasını çağırır. (sətirlər 1930-1934) - `net/ipv6/exthdrs.c:ipv6_push_frag_opts()` / `ipv6_push_exthdr()`: - İtələmə ölçüsü (push size) göstərilən başlıq əsasında `ipv6_optlen(opt->dst1opt)` funksiyasından gəlir. (sətirlər 1179-1185 və 1206-1211) 1. `opt_flen` 16 bitlik akkumulyatordur: - `include/net/ipv6.h:298` sətirində `__u16 opt_flen; /* after fragment hdr */` kimi təyin edilmişdir. 2. `ip6_datagram_send_ctl()` təkrar `IPV6_DSTOPTS` cmsg-lərini qəbul edir və hər dəfə `opt_flen`-i artırır: - `net/ipv6/datagram.c:909-933` hissəsində `IPV6_DSTOPTS` üçün: - O, `len = ((hdr->hdrlen + 1) << 3);` hesablayır. - `ns_capable(net->user_ns, CAP_NET_RAW)` vasitəsilə `CAP_NET_RAW` imtiyazını yoxlayır. (sətir 922) - Sonra bunları yerinə yetirir: - `opt->opt_flen += len;` (sətir 927) - `opt->dst1opt = hdr;` (sətir 928) Burada dublikatların rədd edilməsi mexanizmi yoxdur (köhnə `IPV6_2292DSTOPTS` yolu ilə müqayisədə, hansı ki `net/ipv6/datagram.c:901-904` sətirlərində dublikatları rədd edirdi). Kifayət qədər böyük `IPV6_DSTOPTS` cmsg-ləri təqdim edildikdə, `dst1opt` hələ də böyük (2048 bayt) təyinat seçimləri başlığına işarə etdiyi halda, `opt_flen` daşır (wrap). Təqdim olunan PoC faylında (`poc.c`): - `hdrlen=255` olan 32 cmsg => `len = (255+1)*8 = 2048` - `hdrlen=0` olan 1 cmsg => `len = 8` - Ümumi artım: `32*2048 + 8 = 65544`, beləliklə `(__u16)opt_flen == 8` olur. - Sonuncu cmsg 2048 baytdır, buna görə də `dst1opt` 2048 baytlıq başlığa işarə edir. 3. Ötürmə yolu daşan `opt_flen` istifadə edərək başlıq ölçülərini təyin edir: - `net/ipv6/ip6_output.c:1463-1465` hissəsində: - `headersize = sizeof(struct ipv6hdr) + (opt ? opt->opt_flen + opt->opt_nflen : 0) + ...;` Daşan `opt_flen` ilə `headersize`/boş sahə qərarları daha sonra itələyəcək məlumatın həcmini olduğundan az qiymətləndirir. 4. Yekun skb qurulduqda, faktiki itələmə uzunluğu `dst1opt`-dən gəlir və daşan `opt_flen` ilə məhdudlaşdırılmır: - `net/ipv6/ip6_output.c:1930-1934` hissəsində: - `if (opt->opt_flen) proto = ipv6_push_frag_opts(skb, opt, proto);` - `net/ipv6/exthdrs.c:1206-1211` hissəsində `ipv6_push_frag_opts()` funksiyası `ipv6_push_exthdr()` vasitəsilə `dst1opt`-ni itələyir. - `net/ipv6/exthdrs.c:1179-1184` hissəsində `ipv6_push_exthdr()` bunu edir: - `skb_push(skb, ipv6_optlen(opt));` - `memcpy(h, opt, ipv6_optlen(opt));` Boş sahənin kifayət etmədiyi hallarda `skb_push()` alt axına (underflow) səbəb olur və `skb_under_panic()` -> `BUG()` funksiyasını tetiklir: - `net/core/skbuff.c:2669-2675` (`skb_push()` funksiyası `skb_under_panic()`-i çağırır) - `net/core/skbuff.c:207-214` (`skb_panic()` funksiyası `BUG()` ilə bitir) - `IPV6_DSTOPTS` cmsg yolu hədəf netns istifadəçi ad sahəsində `CAP_NET_RAW` imtiyazı tələb edir (`ns_capable(net->user_ns, CAP_NET_RAW)`). - Root (və ya `CAP_NET_RAW` imtiyazına malik hər hansı tapşırıq) istifadəçi ad sahələri olmadan bunu tetikleyə bilər. - İmtiyazsız `uid=1000` istifadəçisi, əgər imtiyazsız istifadəçi ad sahələri aktivdirsə və o, adlandırılmış `CAP_NET_RAW` imtiyazını əldə etmək üçün userns+netns yarada bilirsə, bunu tetikleyə bilər (təqdim olunan PoC bunu edir). - Lokal xidmətdən imtina: nüvə BUG/panika (sistemin çökməsi).