CVE-2026-97597

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: ipv6: flowlabel: hər soket üçün dublikat icarələrin sayını məhdudlaşdırmaq ipv6_flowlabel_get() funksiyası hər uğurlu GET əməliyyatı üçün bir ipv6_fl_socklist girişi ayırır. Uyğun mövcud flowlabel üçün yenidən yoxlama yolu heç bir icarə qəbul yoxlamasını tətbiq etmədən başqa bir icarəni bağlayır. Buna görə də, bir paylaşılabilir etiket üçün təkrarlanan GET sorğuları soketin icarə siyahısını limitsiz şəkildə artıra bilər. Soket artıq FL_MAX_PER_SOCK icarəsinə sahib olduqda yeni imtiyazsız icarəni rədd edin. Qlobal səviyyədə daxil edilmiş etiketin təkrar istifadəsi, o cümlədən fl_intern() toqquşma yolu da əhatə olunsun deyə bunu ortaq yenidən yoxlama yolunda yoxlayın. Yeni etiketlərin qəbulu mövcud mem_check() siyasətinə uyğun qalır. mem_check() ilə uyğunluq təmin etmək üçün ns_capable() əvəzinə capable(CAP_NET_ADMIN) istifadə edin. İmtiyazsız istifadəçi, hələ də host yaddaşını istehlak edəcək olan və özünün CAP_NET_ADMIN hüququna malik olduğu istifadəçi ad sahəsi (user namespace) və netns yaradaraq bu məhdudiyyətdən yan keçməməlidir. İmtiyaz yoxlamasını yalnız soket limitə çatdıqda yerinə yetirin, beləliklə limitdən aşağı uğurlu imtiyazsız GET sorğuları imtiyaz auditi yaratmaz. Rədd edilən GET sorğusunun ortaq etiketi yeniləməməsi üçün qəbul yoxlamasını linger və expires parametrlərini yeniləməzdən əvvəl həyata keçirin; bu, mövcud soket-siyahısı ayırma xətası yolu ilə uyğundur.