CVE-2026-64114

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: ipv4: raw: ihl < 5 olan IP_HDRINCL paketləri rədd edilsin raw_send_hdrinc() funksiyası çağırıcı tərəfindən təmin edilən IPv4 başlığının mesaj uzunluğuna uyğun olduğunu yoxlayır: iphlen = iph->ihl * 4; err = -EINVAL; if (iphlen > length) goto error_free; if (iphlen >= sizeof(*iph)) { /* saddr, tot_len, id, csum, transport_header düzəldilir */ } Lakin, bu funksiya ihl < 5 olan halları rədd etmir. Belə bir paket üçün "if (iphlen >= sizeof(*iph))" budağı ötürülür və hazırlanmış iphdr dəyişdirilmədən qalır, lakin paket yenə də __ip_local_out() funksiyasına və daha sonrakılara ötürülür. iph->ihl dəyərini oxuyan alt istehlakçılar onun düzgün olduğunu fərz edirlər: xüsusilə net/ipv4/ah4.c:ah_output() funksiyası top_iph->ihl * 4 dəyərindən sizeof(struct iphdr) ölçüsünü çıxır və nəticəni (işarəli mənfi tam ədəd, sonra size_t tipinə çevrilmiş) memcpy() funksiyasına ötürür ki, bu da SIZE_MAX-a yaxın uzunluqda OOB girişinə və host nüvəsinin panikasına (kernel panic) səbəb olur. Tərifi üzrə ihl < 5 olan IPv4 başlığı yanlış formalaşdırılmış hesab olunur (RFC 791: "Internet Header Length internet başlığının 32 bit sözlərlə ifadə olunan uzunluğudur... Qeyd edin ki, düzgün başlıq üçün minimum dəyər 5-dir"). Nüvə belə bir paketi öz çıxış yoluna daxil etməməlidir. Mövcud "iphlen > length" yoxlaması ilə yanaşı "iphlen < sizeof(*iph)" halı da rədd edilsin. Bu, yerli şəkildə qurulmuş və IP stekinə yenidən daxil olan paketlərin kənar paketlərə tətbiq edilən eyni baza sağlamlıq testlərindən keçməli olduğu prinsipinə uyğundur. Bu düzəliş tətbiq edildikdən sonra, düzəltmə budağını əhatə edən "if (iphlen >= sizeof(*iph))" örtüyü artıq lazımsız olur; lakin yamanın minimal və geri portlaşdırılmaya (backport) uyğun olması üçün saxlanılıb. Sonrakı mərhələdə bu örtük götürülə bilər. Qeyd edək ki, 86f4c90a1c5c ("ipv4, ipv6: ensure raw socket message is big enough to hold an IP header") commit-i mesaj buferinin iphdr-i saxlamaq üçün kifayət qədər böyük olduğunu təmin edir, lakin özü tərəfindən bildirilen iph->ihl dəyərini məhdudlaşdırmır. Əlçatanlıq: yanlış formalaşdırılmış paketin mənbəyi CAP_NET_RAW imtiyazına malik hər hansı çağırıcıdır, bura CONFIG_USER_NS=y olan nüvədə istifadəçi+net namespace-dəki imtiyazsız proses də daxildir. Təkrar istehsal edilmiş AH çökməsi həmçinin çıxan marşrutda uyğun xfrm AH siyasətini tələb edir; CAP_NET_ADMIN imtiyazı verilmiş konteyner həmin vəziyyəti və siyasəti öz netns-ində quraşdıra bilər. Loopback xfrm_output-u yan keçdiyi üçün tetikləyici real netdev-dən istifadə edir. UML + KASAN üzərində təkrar istehsal edilib: çökmə nöqtəsində memcpy_orig ilə addr 0x0 ünvanında nüvə rejimi xətası. Eyni vəziyyət standart distro nüvəsində --cap-add NET_ADMIN parametri ilə root-suz Docker konteyneri daxilində də təkrar istehsal olunur.