CVE-2026-74620

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: net/sched: act_gact, act_police: ehtiyat idarəetmə hərəkətinin diapazon yoxlamasını həyata keçirin tcf_action_check_ctrlact() əsas idarəetmə hərəkətini diapazon üzrə yoxlayır: if (!opcode) ret = action > TC_ACT_VALUE_MAX ? -EINVAL : 0; TC_ACT_VALUE_MAX dəyəri TC_ACT_TRAP-dır, buna görə də ondan yuxarı olan kernel daxili qərarlar bu şəkildə təyin edilə bilməz. Lakin act_gact və act_police hər biri istifadəçi sahəsi tərəfindən təmin edilən və həmin köməkçiyə heç vaxt çatmayan ikinci, müstəqil idarəetmə hərəkətinə malikdir - TCA_GACT_PROB.paction və TCA_POLICE_RESULT. Hər ikisi yalnız TC_ACT_GOTO_CHAIN dəyərini rədd edir, digər bütün dəyərlər olduğu kimi saxlanılır və hərəkətdən olduğu kimi qaytarılır. Xüsusilə, istifadəçi sahəsi TC_ACT_VALUE_MAX + 1 olan və qəsdən UAPI dəyər diapazonuna daxil edilməmiş TC_ACT_CONSUMED dəyərini saxlaya bilər. Bu qərar hər bir çağırana bildirir ki, hərəkət skb mülkiyyətini götürüb, buna görə də heç kim onu azad etmir: sch_handle_ingress(), sch_handle_egress() və tcf_qevent_handle() funksiyalarının hamısı qəsdən onun üçün azad etmə prosesini ötürür. Nəticədə, filtrdən keçən hər paket üçün, o cümlədən kernel tərəfindən yaradılmış paketlər daxil olmaqla, zəncirdəki bütün trafik üçün məhdudiyyətsiz şəkildə bir sk_buff və onun məlumat buferi sızır. Hər iki hal sadə şəkildə deterministikdir. act_gact tcfg_pval dəyərini >= 1 şərtinə uyğunlaşdırır, beləliklə pval = 1 olduqda gact_determ() hər paket üçün ehtiyat variantı qaytarır. act_police-da məcburi sürət yoxdur, ona görə də rate = 0 olduqda tcfp_mtu = ~0 qalır və tcf_police_mtu_check() həmişə uğurlu olur. TC_ACT_CONSUMED dəyəri, hər iki goto-chain qoruyucuları yazıldıqdan sonra 720f22fed81b ("net: sched: refactor reinsert action") commit-i ilə əlavə edilmişdir: commit 9469f375ab09 ("net/sched: act_gact: disallow 'goto chain' on fallback control action") və commit c08f5ed5d625 ("net/sched: act_police: disallow 'goto chain' on fallback control action"). Yeni qərar ortaya çıxdıqda heç bir qoruyucu genişləndirilməmişdi. Mövcud diapazon testini tcf_action_check_ctrlact() funksiyasından tcf_action_valid() kimi ayırın və onu hər iki ehtiyat varianta tətbiq edin. Köməkçi funksiya tcf_action_check_ctrlact()-ni birbaşa çağıra bilməz, çünki bu, həmçinin goto_chain ayırır ki, bu da məhz bu iki sahənin etməməli olduğu şeydir. v7.2-rc6 versiyasında təkrarlandı: kmemleak hər paket üçün bir sızmış 232 baytlıq skbuff_head_cache obyekti və onun 704 baytlıq məlumat buferini bildirir. Bu yamama (patch) ilə hər iki konfiqurasiya -EINVAL ilə rədd edilir və kmemleak heç bir sızıntı bildirmir.