CVE-2026-63920

Linux kernel-də aşağıdakı zəiflik həll edilmişdir: ipv6: cmsg-ə kopyalamadan əvvəl uzadılma başlığının uzunluğunu yoxlamaq ip6_datagram_recv_specific_ctl() funksiyası IPV6_{HOPOPTS,DSTOPTS,RTHDR} cmsg-lərini (və onların IPV6_2292* köhnə qarşılıqlarını) put_cmsg() uzunluğunu hesablayarkən şəbəkədən gələn hdrlen baytına (ptr[1]) etibar edərək qurur. Uzunluq yalnız təhlil zamanı (ipv6_parse_hopopts() və s.) yoxlanılırdı. nftables payload-write ifadəsi təhlildən sonra və skb recvmsg-ə çatmazdan əvvəl hdrlen-i yenidən yaza bilər; yazmanın özü sərhədlər daxilindədir, lakin put_cmsg() sonra 8 baytlıq başlıqdan ((hdrlen+1) << 3) = 2040 bayta qədər oxuyur. nftables imtiyazsız istifadəçi ad məkanından əlçatandır, buna görə bu, imtiyazsız slab-out-of-bounds oxumasıdır: BUG: KASAN: slab-out-of-bounds in put_cmsg+0x3ac/0x540 put_cmsg+0x3ac/0x540 udpv6_recvmsg+0xca0/0x1250 sock_recvmsg+0xdf/0x190 ____sys_recvmsg+0x1b1/0x620 hdrlen sahəsini oxumazdan əvvəl ən azı iki baytın əlçatan olduğunu yoxlayan, sonra hesablanmış uzunluğu skb_tail_pointer(skb) ilə müqayisə edən və uğursuzluq halında 0 qaytaran ipv6_get_exthdr_len() funksiyası əlavə edilir. Uzadılma başlıqları giriş zamanı pskb_may_pull() tərəfindən xətti skb sahəsində saxlanılır, buna görə skb_tail_pointer() düzgün sərhəddir. ipv6_get_exthdr_len() funksiyasını AH olmayan bütün çağırış yerlərində istifadə edin: beş ayrı cmsg blokunda (HbH, 2292HbH, 2292DSTOPTS x2, 2292RTHDR) və uzadılma başlığı gəzinti dövrəsindəki üç standart halda (DSTOPTS, ROUTING, default). AH daxili sərhəd yoxlamasını saxlayır, çünki onun uzunluq formulu fərqlidir ((ptr[1]+2)<<2). Gəzinti dövrəsi həmçinin hər hansı hal ptr[0] və ya ptr[1]-ə müraciət etməzdən əvvəl ptr-i yoxlamaq üçün yuxarıda oxumadan əvvəl sərhəd yoxlaması alır. Gəzinti dövrəsi zədələnmiş başlıq aşkar etdikdə, sonrakı soket seçimlərini emal etməyə davam etmək əvəzinə funksiyadan qayıdır.