CVE-2026-64009

Linux kernel-də aşağıdakı zəiflik həll edilmişdir: xfrm: xfrm_state_mtu-da aşağı daşmanı yoxla Leo Lin esp komponentində bufer hüdudlarından kənara yazma problemini bildirmişdir: xfrm_state_mtu() u32 qaytarır, lakin arifmetikasını işarəsiz modul-2^32 fəzasında yerinə yetirir və hücumçu tərəfindən təsirlənə bilən "header_len + authsize + net_adj" dəyərini kiçik "mtu" arqumentindən çıxarır. Adi istifadəçi (nobody) böyük autentifikasiya açarı ilə (XFRMA_ALG_AUTH_TRUNC, məs. hmac(sha512), 64 baytlıq açar, 64 baytlıq kəsim) IPv4 ESP tunel SA quraşdıra, kiçik interfeys MTU-su (68 bayt) konfiqurasiya edə və XFRMA_TFCPAD-ı böyük dəyərə qoya bilər. Sonra tunel vasitəsilə tək bir UDP datagramı göndərildikdə, xfrm_state_mtu() aşağı daşmaya uğrayaraq 2^32-yə yaxın dəyər qaytarır və esp_output() onu işarəli int kimi istifadə edir: padto = min(x->tfcpad, xfrm_state_mtu(x, mtu_cached)) esp.tfclen = padto - skb->len (int-ə təyin edilir) esp.tfclen mənfi olur (məs. -207). esp_output_fill_trailer() daxilində memset()-ə ötürülərkən size_t-ə işarə genişləndirməsi ilə çevrilir və skb_tail_pointer(skb) ünvanında ~16 EB həcmində sıfır yazması yaradır. KASAN bunu "Write of size 18446744073709551537 at addr ffff888..." kimi qeyd edir. Aşağı daşmanı yoxla və 1 qaytar. Bu, sendmsg cəhdinin ENETUNREACH ilə uğursuz olmasına səbəb olur.