CVE-2026-68136

Linux kernelində aşağıdakı zəiflik aradan qaldırılıb: net: gro: flush ilə işarələnmiş skb-lərin ikiqat aqreqasiyası düzəldildi 0ab03f353d36 commit-i ("net-gro: GSO paketi qəbul edərkən GRO flush-u düzəlt.") skb_gro_receive()-ə flush yoxlaması əlavə etdi, lakin skb_gro_receive_list()-də eyni validasiya yoxdur. Nəticədə NAPI_GRO_CB(skb)->flush ilə işarələnmiş paketlər yenidən aqreqasiya oluna bilər. Bu, mövcud frag_list-ə malik artıq GRO-dan keçmiş paketlərin yeni GRO sessiyasına yenidən aqreqasiya olunmasına imkan verir və frag_list zəncirinin strukturunu korlayır. skb_segment() bu qüsurlu paketləri açmağa cəhd etdikdə etibarsız vəziyyətlə qarşılaşır və kernel panic-i yaranır. Ssenari (Tethering/Cihaz yönləndirməsi): 1. Sürücü: frag_list ilə LRO vasitəsilə aqreqasiya olunmuş P1 paketi yaradıldı 2. Dev A: Aqreqasiya olunmuş fraglist paketini qəbul edir və flush bayrağı qoyulur 3. Dev A: Yenidən GRO-ya daxil olur, skb_gro_receive_list() çağırılır 4. Çatışmayan flush yoxlaması flush bayrağına baxmayaraq yenidən aqreqasiyaya imkan verir 5. Frag_list zənciri korlanır (dövrələr və ya asılı qalmış istinadlar) 6. Dev B: TX yolu skb_segment()-i çağırır, korlanmış frag_list üzərində crash baş verir Kök səbəb skb_segment()-dədir: ~4891-ci sətirdəki yoxlama: if (hsize <= 0 && i >= nfrags && skb_headlen(list_skb) && (skb_headlen(list_skb) == len || sg)) { Frag_list ikiqat aqreqasiya ilə korlandıqda, list_skb skb->next-dən NULL göstərici olduqda, skb_headlen(list_skb) NULL/korlanmış göstəricilərin dereferensiyasına səbəb olur. Çağırış izi: skb_headlen(NULL skb) skb_segment tcp_gso_segment tcp4_gso_segment inet_gso_segment skb_mac_gso_segment __skb_gso_segment skb_gso_segment validate_xmit_skb validate_xmit_skb_list sch_direct_xmit qdisc_restart __qdisc_run qdisc_run net_tx_action Düzəliş: skb_gro_receive_list()-də erkən qayıtma yoxlamasına NAPI_GRO_CB(skb)->flush validasiyası əlavə edilir ki, bu da skb_gro_receive()-in müdafiə xarakterli proqramlaşdırma modelinə uyğundur.