CVE-2026-80612

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: net: lwtunnel: LWT inkapsulyasiyasından əvvəl skb metadata məlumatlarını silin skb metadata məlumatları XDP və TC arasında informasiya ötürmək üçün nəzərdə tutulub. Bu məlumatlar skb headroom hissəsində, dərhal skb->data-dan əvvəl yerləşir. LWT proqramları metadata üçün olan __sk_buff->data_meta psevdogöstəricisinə daxil ola bilmir. Lakin, LWT inkapsulyasiyası xarici başlıqları önə əlavə edərək skb->data-nı metadata yerləşdiyi headroom hissəsinə geri çəkir. Hələ də XDP metadata daşıyan RX mənşəli (yönləndirilmiş) paketdə, inkapsulyasiya növündən asılı olaraq bu proses iki fərqli şəkildə xətaya səbəb olur: 1. Qeyri-BPF LWT inkapsulyasiyaları (mpls, seg6, ioam6 ...) skb_push()/skb_pull() funksiyalarını çağırır və headroom-da yerləşən metadata məlumatlarını səssizcə yenidən yazır. 2) BPF LWT xmit, skb_data_move() istifadə edən bpf_skb_change_head() funksiyasını çağırır. Bu köməkçi funksiya metadatanın dərhal skb->data-dan əvvəl olmasını gözləyir. Lakin IP çıxış yolu, qonşu çıxışı (neighbour output) çıxan L2 başlığını qurmazdan əvvəl LWT xmit-i işə saldığı üçün yönləndirilmiş paketlərdə skb->data L3 başlığına, skb_mac_header() isə hələ də köhnə L2 başlığına işarə edir. skb_data_move() metadatanın skb->data-dan əvvəl deyil, skb_mac_header()-də bitdiyini görür, xəbərdarlıq verir və metadatanı təmizləyir: WARNING: CPU: 21 PID: 454557 at include/linux/skbuff.h:4609 skb_data_move+0x47/0x90 CPU: 21 UID: 0 PID: 454557 Comm: napi/iconduit-g Tainted: G O 6.18.21 #1 RIP: 0010:skb_data_move+0x47/0x90 Call Trace: <IRQ> bpf_skb_change_head+0xe6/0x1a0 bpf_prog_...+0x213/0x2e3 run_lwt_bpf.isra.0+0x1d3/0x360 bpf_xmit+0x46/0xe0 lwtunnel_xmit+0xa1/0xf0 ip_finish_output2+0x1e7/0x5e0 ip_output+0x63/0x100 __netif_receive_skb_one_core+0x85/0xa0 process_backlog+0x9c/0x150 __napi_poll+0x2b/0x190 net_rx_action+0x40b/0x7f0 handle_softirqs+0xd2/0x270 do_softirq+0x3f/0x60 </IRQ> Hadisələr belə cərəyan edir; həlli yoluna gəldikdə isə — metadata daşıyan qəbul edilmiş bir paket üç LWT yönləndirmə rejimindən hər hansı biri vasitəsilə inkapsulyasiyaya çata bilər: LWTUNNEL_STATE_INPUT_REDIRECT ip6_rcv_finish dst_input lwtunnel_input LWTUNNEL_STATE_OUTPUT_REDIRECT ip6_rcv_finish dst_input ip6_forward ip6_forward_finish dst_output lwtunnel_output LWTUNNEL_STATE_XMIT_REDIRECT ip6_rcv_finish dst_input ip6_forward ip6_forward_finish dst_output ip_output ip6_finish_output ip6_finish_output2 lwtunnel_xmit Hər bir inkapsulyasiya üç LWT paylama köməkçisi vasitəsilə keçir, buna görə də skb inkapsulyasiya əməliyyatına təslim edilməzdən dərhal əvvəl metadata orada silinməlidir. Bu vahid nöqtə bütün inkapsulyasiya növlərini və hər üç yönləndirmə rejimini əhatə edir: - lwtunnel_input(): seg6, rpl, ila, seg6_local - lwtunnel_output(): ioam6 - lwtunnel_xmit(): mpls, LWT BPF xmit Alternativ olaraq, metadatanı TC ingress hook-dan dərhal sonra təmizləyə bilərdik. Lakin bu, kompromiss tələb edərdi. Belə olduqda, metadata TC egress-dən əlçatmaz olardı (onun toxunulmamış halda hook-a çatdığı konfiqurasiyalarda, yəni yolda heç bir L2 tuneli olmadığı hallarda).