CVE-2026-43501

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: ipv6: rpl: yenidən sıxılmış SRH böyüdükdə mac_len headroom rezerv edin ipv6_rpl_srh_rcv() funksiyası RFC 6554 Mənbə Marşrutlaşdırma Başlığını (Source Routing Header) sıxışdırır, növbəti seqmenti ipv6_hdr->daddr ilə dəyişdirir, yenidən sıxışdırır, sonra köhnə başlığı çıxarır və yeni başlığı IPv6 başlığı ilə birlikdə geri yükləyir. Seqmentlərin daddr ilə paylaşdıqları ortaq prefiks uzunluğu azaldıqda, yenidən sıxılmış başlıq qəbul ediləndən daha böyük ola bilər (CmprI=0, CmprE>0, seg[0][0] != daddr[0] maksimum +8 bayt verir). pskb_expand_head() funksiyasının işləməsi segments_left == 0 şərtindən asılı idi, buna görə də əvvəlki seqmentlərdə push əməliyyatı yoxlanılmamış headroom hissəsini istifadə edirdi. skb_push() məlumatın qarşısında skb->mac_len baytından daha az yer saxladıqda, skb_mac_header_rebuild() tərəfindən çağırılan: skb_set_mac_header(skb, -skb->mac_len); əməliyyatı (data - head) - mac_len dəyərini u16 mac_header sahəsinə yazacaq ki, bu da təxminən 65530-a çevrilir və növbəti memmove() funksiyası mac_len baytı skb->head-dən təxminən 64KiB sonraya yazır. lo üzərindən iki seqmentli tip-3 SRH (CmprI=0, CmprE=15) olan tək bir AF_INET6/SOCK_RAW/IPV6_HDRINCL paketi bir dövrədən sonra headroom-u 8-ə çatdırır; KASAN ipv6_rthdr_rcv funksiyasında 14 baytlıq OOB yazma xətası bildirir. Bu problem, qalan boşluq push ölçüsündən və mac_len-dən az olduqda head hissəsini genişləndirməklə və yenidən qurulmuş MAC başlığının yerləşməsi üçün həmin miqdarda əlavə yer tələb etməklə düzəldilmişdir.