CVE-2026-89555

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: mpls: pskb_may_pull()-dən sonra başlığın yenidən yüklənməsi MPLS marşrutunun çox sayda nexthop-u olduqda, mpls_select_multipath() funksiyası nexthop seçmək üçün mpls_multipath_hash() funksiyasını çağırır. MPLS etiket stekini gəzərkən, heş rutinləri cari etiket üçün hdr-i keşləyir. Stekin altındakı etiketi tapdıqdan sonra, daxili IP başlığını oxumazdan əvvəl pskb_may_pull() funksiyasını çağırır. Əgər skb daxili IP başlığı qeyri-xətti məlumatlarda və xətti başlıqda kifayət qədər boş yer (tailroom) olmadan qurulubsa, pskb_may_pull() funksiyası skb başlığını əvəzləmək və köhnəsini azad etmək üçün pskb_expand_head() funksiyasını çağırır. Bu, hdr-in azad edilmiş yaddaşa işarə etməsinə səbəb olur. IPv6 yolu daha böyük başlıq üçün ikinci dəfə pull əməliyyatını yerinə yetirdikdə hdr-i yenidən etibarsızlaşdıra bilər. Problem statik analiz vasitəsilə aşkar edilib. Bareudp/MPLS multipath quruluşu vasitəsilə qanuni Geneve paketinin göndərildiyi bir təkrar istehsalçı (reproducer), yamalanmamış 2 yürüşün hər ikisində eyni KASAN hesabatını tetikləmişdir: BUG: KASAN: slab-use-after-free in mpls_select_multipath Read of size 1 at addr ffff88800ecc6e20 by task ksoftirqd/1/23 Call Trace: mpls_select_multipath mpls_forward __netif_receive_skb_list_core netif_receive_skb_list_internal napi_complete_done gro_cell_poll __napi_poll net_rx_action Freed by task 23: kfree pskb_expand_head __pskb_pull_tail mpls_select_multipath Daxili IPv4 və ya IPv6 başlığı göstəricisini əldə etməzdən əvvəl, hər uğurlu pull əməliyyatından sonra hdr-i cari skb başlığından yenidən yükləyin.