CVE-2026-74434

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: rxrpc: Peek edilmiş OOB mesajını gözləmə növbəsinə köçürməyin rxrpc_recvmsg_oob() funksiyası qəbul edilmiş oob mesajını recvmsg_oobq-dan çıxarır və əgər cavab tələb olunursa, onu pending_oobq ağacına köçürür. Lakin yalnız recvmsg_oobq-dan silinmə prosesi MSG_PEEK ilə qorunur; pending_oobq-ya köçürmə isə həmişə icra edilir. Nəticədə, challenge-ın MSG_PEEK ilə oxunması skb-ni recvmsg_oobq-da saxlayarkən eyni zamanda onu pending_oobq-ya əlavə edir. struct sk_buff-ın rbnode-u özünün next və prev göstəriciləri ilə yaddaşı paylaşdığı üçün, rb_insert_color() siyahı bağlantısını overwrite edir və tək bir istinad (reference) saxlayan skb hər iki növbədən eyni anda əlçatan olur. Soket bağlananda hər iki növbə ardıcıl olaraq boşaldılır. recvmsg_oobq boşaldılan zaman __skb_unlink() funksiyası rbnode tərəfindən overwrite edilmiş next və prev göstəricilərini izləyir və yanlış ünvana yazı yazır. Həmçinin, skb tək bir istinada sahib olduğu halda hər iki növbədən azad edildiyi üçün, həm skb, həm də onun saxladığı bağlantı istinadı iki dəfə azad edilir. Bu, yaddaşın korlanmasına (memory corruption) və bağlantının refcount-unun mənfi qiymət alması nəticəsində yaranan use-after-free zəifliyinə səbəb olur. MSG_PEEK mesajı növbədən istehlak etmir, buna görə də onu yalnız recvmsg_oobq-dan ayırmalı, daha sonra isə mesaj faktiki olaraq istehlak edildikdə onu pending_oobq-ya köçürməli və ya azad etməlisiniz.