CVE-2026-68441

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: net/sched: qdisc filtr zəncirlərindən gələn TC_ACT_REDIRECT-in idarə edilməsi qdisc filtr zəncirinə qoşulmuş TC filtri TC_ACT_REDIRECT qaytardıqda (məsələn, bpf_redirect() funksiyasını çağıran eBPF proqramı və ya act_bpf hərəkəti vasitəsilə), yönləndirmə səssizcə itirdi, yəni heç bir qdisc təsnifat funksiyası TC_ACT_REDIRECT-i emal etmirdi, buna görə də paket yönləndirilmək əvəzinə switch blokundan keçib normal şəkildə növbəyə əlavə olunurdu. Bu problem, commit 27b29f63058d ("bpf: add bpf_redirect() helper") ilə TC üçün bpf_redirect() tətbiq edildiyi vaxtdan bəri mövcud idi. Uzun müddət bpf_net_context həmişə əlçatan olan CPU-ya məxsus dəyişən olduğu üçün bu problem hiss olunmamışdı. Commit 401cb7dae813 ("net: Reference bpf_redirect_info via task_struct on PREEMPT_RT."), bpf_net_context-i yalnız açıq çağırıcılar tərəfindən təyin edilən task_struct üzvünə çevirdi. Çağırıcı tərəfindən təyin edilmədikdə, bpf_redirect() funksiyasının özü bpf_net_ctx_get_ri() daxilində NULL göstəricisinin istifadəsi (NULL pointer dereference) səbəbindən çökür. Lakin, bpf_net_context əlçatan olsa belə, hər bir qdisc təsnifat funksiyasına skb_do_redirect() çağırışları əlavə etmədən qdisc filtr zəncirlərindən gələn TC_ACT_REDIRECT-i yerinə yetirmək mümkün deyildi ki, bu da net/sched/ qovluğunda geniş dəyişikliklər tələb edərdi. Bu proses onu aid olduğu ebpf nüvəsinə izolyasiya edir. Bunun əvəzinə, pkt_cls.h faylına qdisc təsnifat funksiyaları və tcf_qevent_handle() tərəfindən istifadə üçün tcf_classify() funksiyasının örtüyü (wrapper) kimi tcf_classify_qdisc() inline köməkçi funksiyası əlavə edildi. Təsnifat qərarı TC_ACT_REDIRECT olduqda, örtük bunu TC_ACT_SHOT-a çevirərək paketin səssizcə davam etməsinə imkan vermədən onu atır (drop). Paketi buraxmaqdan ziyadə atmaq üstün tutulur, çünki istifadəçi paket itkisini dərhal görür. Paketin səssizcə ötürülməsi problemi gizlədir və istifadəçini yönləndirmənin niyə işləmədiyi barədə şübhəyə salırdı. Clsact sürətli yolu olan tc_run() funksiyası tcf_classify()-i birbaşa çağırmağa davam edir və bundan təsirlənmir: TC_ACT_REDIRECT olduğu kimi qaytarılır və əvvəlki kimi sch_handle_egress/ingress() tərəfindən skb_do_redirect() çağırılaraq emal edilir.