CVE-2026-74621

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: net/sched: act_ct: başlıq yoxlamaları paketi rədd etdikdə sk_buff sızmasının düzəldilməsi tcf_ct_handle_fragments() funksiyası hər hansı bir məlumatı defragmentasiya mühərrikinə ötürməzdən əvvəl başlıq sağlamlıq yoxlamalarını həyata keçirir: if (family == NFPROTO_IPV4) err = tcf_ct_ipv4_is_fragment(skb, &frag); else err = tcf_ct_ipv6_is_fragment(skb, &frag); if (err || !frag) return err; tcf_ct_ipv4_is_fragment() funksiyası -EINVAL və ya -ENOMEM qaytarır; tcf_ct_ipv6_is_fragment() isə ipv6_find_hdr() uğursuz olduqda -EPROTO əlavə edir. Onların heç biri skb-ni azad etmir və ya növbəyə daxil etmir, buna görə də bu yolda çağırıcı hələ də ona sahibdir. Lakin tcf_ct_act() bütün sıfırdan fərqli geri dönüşləri mülkiyyət transferi çıxışına yönləndirir: err = tcf_ct_handle_fragments(net, skb, family, p->zone, &defrag); if (err) goto out_frag; ... out_frag: if (err != -EINPROGRESS) tcf_action_inc_drop_qstats(&c->common); return TC_ACT_CONSUMED; TC_ACT_CONSUMED o deməkdir ki, aksiya skb üzərində mülkiyyət hüququnu götürüb, buna görə də heç bir çağırıcı onu azad etmir - sch_handle_ingress(), sch_handle_egress() və tcf_qevent_handle() funksiyalarının hamısı bu qərar üçün azad etmə prosesini qəsdən ötürür. Beləliklə, skb yetim qalır: hər bir yanlış formalaşdırılmış paket üçün bir sk_buff və onun məlumat buferi limitsiz şəkildə sızır. Qeyd edək ki, bu xətalar üçün atma sayğacı artıq artırılıb, beləliklə statistika heç vaxt baş verməyən atmanı iddia edir. Üç fərqli mülkiyyət vəziyyəti out_frag hissəsinə çatır: hazırda - skb defrag mühərriki tərəfindən növbəyə alınmış ola bilər (-EINPROGRESS), nf_ct_handle_fragments() tərəfindən artıq azad edilmiş ola bilər və ya hələ də bizə məxsus ola bilər. Çağırıcıya bunlardan hansının olduğunu bildirin və sonuncu halda paketi özümüz azad edin, bu isə Fixes: commit-dən əvvəlki TC_ACT_SHOT davranışını bərpa edir. Bu problem v7.2-rc6 versiyasında, "action ct" olan clsact ingress zəncirində, nexthdr = 0 (hop-by-hop) olan 40 baytlıq IPv6 başlığına malik və ardınca heç nə olmayan 54 baytlıq freym ilə təkrarlandı. kmemleak hər paket üçün bir sızmış 232 baytlıq skbuff_head_cache obyekti və onun 704 baytlıq məlumat buferini bildirir; bu yamama ilə heç bir sızma bildirmir.