CVE-2026-63984

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: ipv6: rpl: ipv6_rpl_srh_decompress() funksiyasında hdrlen daşması düzəldilib ipv6_rpl_srh_decompress() funksiyası aşağıdakını hesablayır: outhdr->hdrlen = (((n + 1) * sizeof(struct in6_addr)) >> 3); hdrlen __u8 tipindədir. n >= 127 olduqda nəticə 255-i keçir və səssizcə kəsilir. n=127 olduqda (cmpri=15, cmpre=15, pad=0, hdrlen=16): (128 * 16) >> 3 = 256, __u8 kimi 0-a kəsilir ipv6_rpl_srh_rcv() funksiyasındakı çağıran daha sonra sıxılmış başlığı buf + ((ohdr->hdrlen + 1) << 3) ünvanına yerləşdirir. hdrlen=0 olduqda bu, buf + 8 deməkdir, lakin açılmış region buf[0..2055] sahəsini tutur (8 baytlıq başlıq üstəgəl 128 tam ünvan). Sıxılmış başlıq açılmış məlumatla üst-üstə düşür və ipv6_rpl_srh_compress() bu üst-üstə düşən sahəyə yazaraq ötürülən paketin marşrutlaşdırma başlığını korlayır. exthdrs.c:546 sətrindəki mövcud yoxlama (n + 1) > 255 şərtini yoxlayır ki, bu da n+1-in unsigned char (segments_left sahəsi) tipindən daşmasının qarşısını alır, lakin hesablanmış hdrlen-in __u8 tipindən daşmasının qarşısını almır. n=127 keçir, çünki 128 <= 255, lakin hdrlen=256 __u8 tipinə sığmır. Həddi (n + 1) > 127-yə sərtləşdirin. Bu, n-i 126 ilə məhdudlaşdırır və hdrlen = (127 * 16) >> 3 = 254 verir ki, bu da __u8 tipinə sığır. Sıxılmış başlıq daha sonra buf + ((254 + 1) << 3) = buf + 2040 ünvanına düşür, yəni açılmış regionun (buf[0..2039]) tam arxasına. Üst-üstə düşmə yoxdur. 127 seqment istənilən real RPL yerləşdirməsindən xeyli artıqdır.