CVE-2026-31774

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: io_uring/net: io_bundle_nbufs() funksiyasında slab-out-of-bounds oxuma xətası düzəldildi sqe->len __u32 tipindədir, lakin int tipində olan sr->len dəyişəninə mənimsədilir. İstifadəçi sahəsi (userspace) INT_MAX dəyərini aşan sqe->len dəyərləri (məsələn, 0xFFFFFFFF) ötürdükdə, sr->len mənfi dəyərə çevrilərək daşma verir. Bu mənfi dəyər bundle recv/send yolu ilə yayılır: 1. io_recv(): sel.val = sr->len (ssize_t -1 olur) 2. io_recv_buf_select(): arg.max_len = sel->val (size_t 0xFFFFFFFFFFFFFFFF olur) 3. io_ring_buffers_peek(): max_len həddindən artıq böyük olduğu üçün buf->len məhdudlaşdırılmır 4. iov[].iov_len = 0xFFFFFFFF dəyəri io_bundle_nbufs() funksiyasına ötürülür 5. io_bundle_nbufs(): min_t(int, 0xFFFFFFFF, ret) nəticəsi -1 olur ki, bu da ret dəyərinin azalmaq əvəzinə artmasına səbəb olur və ayrılmış iov[] massivinin hüdudlarından kənara oxuyan sonsuz dövr yaradır Bu, nbufs dəyişəni ayrılmış iovec elementlərini keçdikcə, io_bundle_nbufs() funksiyasında kmalloc-64 slab-ından slab-out-of-bounds oxumasına səbəb olur. BUG: KASAN: slab-out-of-bounds in io_bundle_nbufs+0x128/0x160 Read of size 8 at addr ffff888100ae05c8 by task exp/145 Call Trace: io_bundle_nbufs+0x128/0x160 io_recv_finish+0x117/0xe20 io_recv+0x2db/0x1160 Həm io_sendmsg_prep(), həm də io_recvmsg_prep() funksiyalarında mənfi sr->len dəyərlərinin erkən rədd edilməsi ilə bu problem düzəldilmişdir. sqe->len __u32 olduğundan, INT_MAX-dan böyük hər hansı bir dəyər daşmanı göstərir və etibarlı uzunluq hesab olunmur.