CVE-2026-90054

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: tcp: çox seqmentli yenidən ötürmə zamanı təcili məlumatların korlanmasının düzəldilməsi Normal xmit yolunda, təcili rejimdə (urgent mode) çox seqmentli TSO paketinin qurulmasına icazə verilmir, beləliklə hər bir seqment öz urg_ptr dəyərinə malik olur: /* tcp_write_xmit() */ limit = mss_now; if (tso_segs > 1 && !tcp_urg_mode(tp)) limit = tcp_mss_split_point(...); Yenidən ötürmə (retransmit) yolunda belə bir mühafizə mexanizmi yoxdur. __tcp_retransmit_skb() funksiyası segs > 1 olan skb qurur və onu GSO təbəqəsinə ötürür; GSO təbəqəsi isə hər seqment üçün yalnız th->seq dəyərini artırır və urg_ptr dəyərini olduğu kimi kopyalayır: /* __tcp_retransmit_skb() */ len = cur_mss * segs; /* segs > 1, urg_mode yoxlaması yoxdur */ ... /* tcp_gso_segment(): yalnız seq artırılır, urg_ptr kopyalanır */ urg_ptr seqmentin öz seq nömrəsindən olan ofsetdir, buna görə də kopyalanmış dəyər hər seqmentdə fərqli yerə işarə edir. Qəbuledici tərəf mütləq təcili seq nömrəsini seg.seq + urg_ptr olaraq yenidən qurur, nəticədə o, tək bir OOB baytı əvəzinə daim dəyişən təcili nöqtəni izləyir: seg1 seq 1 urg_ptr 5001 -> urgent @ 5001 (düzgün) seg2 seq 1001 urg_ptr 5001 -> urgent @ 6001 (yanlış, +MSS) seg3 seq 2001 urg_ptr 5001 -> urgent @ 7001 (yanlış, +2*MSS) Real OOB baytına heç vaxt işarə edilmir, buna görə də qəbuledici onu ayırmağı dayandırır və normal daxili məlumat kimi çatdırır ki, bu da axının korlanmasına səbəb olur. Yenidən ötürmə uzunluğunu xmit yolu kimi mühafizə edin: təcili rejimdə olduqda segs = 1 dəyərini saxlayın.