CVE-2026-74560

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: xsk: AF_XDP çoxbuferli Tx üçün xsk_drop_skb()-də bufer sızmasının düzəldilməsi Bu yamaq sashikonun yoxlamasından [1] ilhamlanmışdır. Orada bildirilir ki, daşma baş verdikdə, dərc ediləcək cq ünvanı etibarsız olur. Əslində daha ciddi məsələ odur ki, bu konkret halda cq ünvanının dərc edilməsi prosesi tamamilə yanlışdır: o, həqiqətən ünvanı dərc etməli və txq-dən deskriptorları oxuduqca cq-dəki cached_prod-u artırmalıdır. Aşağıda tam analiz verilmişdir. xsk_drop_skb() funksiyası üç yerdə çağırılır və hər üç halda qismən qurulmuş çoxbuferli skb atılır: 1) xsk_build_skb() -EOVERFLOW xəta yolu: paket MAX_SKB_FRAGS limitini aşır 2) __xsk_generic_xmit() dövründən sonrakı təmizləmə: TX ring-dəki etibarsız deskriptor qismən paketin tamamlanmasına mane olur 3) xsk_release(): xs->skb natamam paket saxlayarkən soketin bağlanması Hər üç halda artıq emal edilmiş fraqmentlər üçün TX deskriptorları TX ring-dən istehlak edilib (xskq_cons_release) və CQ slotları rezerv olunub. Lakin xsk_drop_skb(), xsk_cq_cancel_locked() vasitəsilə CQ rezervasiyalarını ləğv edən xsk_consume_skb()-ni çağırır. Bufer ünvanları heç vaxt tamamlanma növbəsində (completion queue) görünmədiyindən, istifadəçi sahəsi (userspace) bu buferlərin izini daimi olaraq itirir. Bu problem, consume_skb()-nin mövcud xsk_destruct_skb destruktorunu tetikləməsi ilə həll edilir; bu destruktor artıq xsk_cq_submit_addr_locked() vasitəsilə bufer ünvanlarını CQ-yə təqdim edir. Qeyd edək ki, deskriptorların TX ring-ə geri qaytarılması (xskq_cons_cancel_n vasitəsilə) uyğun seçim deyil, çünki MAX_SKB_FRAGS limitini daim aşan həddindən artıq böyük bir paket sonsuz sayda yenidən cəhd ediləcək ki, bu da TX yolunda aşkar bir deadlock xətasıdır. Həmçinin, xsk_build_skb_zerocopy()-dəki zerocopy yolu ilə uyğun olması üçün, xsk_build_skb()-dəki desc->addr mənimsətməsini daşma yoxlamasının üzərinə köçürün ki, potensial -EOVERFLOW səbəbi ilə free_err-ə keçiddən əvvəl cari deskriptorun ünvanı qeyd edilsin. [1]: https://lore.kernel.org/all/[email protected]/