CVE-2026-74269

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: bnxt: XDP head-grow zamanı başlığın alt axınına (underflow) düzəliş edildi xdp.py testinin test_xdp_native_adjst_head_grow_data hissəsi bnxt maşınında (həmçinin NIPA-da) işlədilərkən çökür. Görünən odur ki, xəta skb başlığını quran bnxt_rx_multi_page_skb funksiyasındakı alt axındır: napi_build_skb(data_ptr - bp->rx_offset, rxr->rx_page_size); Bu ifadədəki problem ondadır ki, səhifə rejimində rx_offset belədir: bp->rx_offset = NET_IP_ALIGN + XDP_PACKET_HEADROOM; Bu, (ən azı x86_64-də) 258 kimi hesablanır. test_xdp_native_adjst_head_grow_data testi başlığın -256 vahid tənzimləndiyi halı yoxlayır. Bu test işlədikdə, data_ptr frag_start + 2 ünvanına sürüşdürülür (burada frag_start = page_address(page) + offset). Sonra bnxt_rx_multi_page_skb çağırılır və napi_build_skb ifadəsi 258 çıxır, nəticədə frag_start-dan əvvəlki ünvana çatır. Offset < 256 olduqda (məsələn, fraqment offset 0-dan başladıqda), bu, ya əvvəlki fraqment, ya da əvvəlki fiziki səhifə ola bilər. skb azad edildikdə, səhifə hovuzu (page pool) fraqment istinadı ya yanlış səhifədə, ya da düzgün səhifənin yanlış fraqmentində silinir. Hər iki halda, korlanmış istinad sayı səhifənin hələ də istifadə edildiyi halda vaxtından əvvəl təkrar istifadəsinə (recycle) səbəb ola bilər. Səhvən təkrar istifadə edildikdən sonra o, yenidən təyin edilə bilər və drayverin ləğvi zamanı bu, double free xətasına gətirib çıxarar. Düzəliş edilən commit yerli səhifə ölçüsünün >= 64k olduğu halı idarə etmək üçün bu kodu yeniləmişdi, lakin qeyri-ixtiyari olaraq head grow halını sıradan çıxarmışdı. Bunu düzəltmək üçün struct bnxt_sw_rx_agg_bd strukturundakı mövcud offset sahəsini əks etdirən bir offset sahəsi struct bnxt_sw_rx_bd strukturuna əlavə edin. Onu ayırma (allocation) zamanı doldurun və təkrar istifadə zamanı saxlayın. bnxt_rx_multi_page_skb funksiyasında fraqment başlanğıcını hesablamaq üçün yeni əlavə edilmiş offset sahəsindən istifadə edin və bunu napi_build_skb-yə ötürün. Layout-nu skb_reserve ilə tənzimləyin. İki hal var: tənzimlənməmiş hal və tənzimlənmiş hal. Hər iki halda, yerli səhifə ölçüsü >= 64K olduğu halı nəzərə almaq üçün skb page_address(page) + offset ünvanında qurulur və skb_reserve data_ptr - (page_address(page) + offset) ilə çağırılır. Bu fərq, data_ptr hərəkət etmədikdə bp->rx_offset-ə, XDP başlığı tənzimlədikdə isə bp->rx_offset + xdp_adjust-a bərabərdir. Uğursuz testin bu commit tətbiq edildikdən sonra yenidən işlədilməsi testin uğurla tamamlanmasına səbəb olur. Digər rx_skb_func tətbiqlərində bu problem yoxdur.