CVE-2026-97602

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: inet: frags: növbələri təmizləməzdən əvvəl onları etibarsızlaşdırın fqdir_pre_exit() funksiyası tamamlanmamış növbələrdəki skb-ləri onların tamamlanma vəziyyətini dəyişmədən təmizləyir. high_thresh təmizlənməmişdən əvvəl növbə tapan bir fraqment daha sonra növbə kilidini əldə edə və köhnəlmiş yenidən yığma metaverilənlərindən istifadə edə bilər. fqdir->dead təyin edildikdən sonra eyni vaxtda silinən bir növbə, hələ də öz köhnə skb-lərini saxlayarkən INET_FRAG_COMPLETE|INET_FRAG_HASH_DEAD vəziyyətinə gələ bilər; onun tamamlanmış olması səbəbindən ötürülməsi həmin istinadları asinxron fqdir sökülünə qədər saxlayır. IPv6 üçün köhnəlmiş metaverilənlər ip6_frag_reasm() funksiyasının yeni skb ilə köhnə nhoffset-dən istifadə etməsinə və yaddaşın sərhədləri kənarında (out of bounds) giriş etməsinə səbəb ola bilər. Nəticədə yaranan heap korrupsiyası, imtiyazsız şəbəkə ad sahələri (network namespaces) mövcud olduqda lokal imtiyazların yüksəldilməsi üçün istifadə edilə bilər. Təmizlənməmiş fraqmentlər həmçinin conntrack per-net təmizləmə nöqtəsindən sonra conntrack istinadlarını aktiv saxlaya bilər. Hər bir tamamlanmamış növbəni ləğv edin, sonra hələ də ölən rhashtable-a məxsus olan hər bir növbəni təmizləyin. HASH_DEAD bu mülkiyyəti müəyyən edir, halbuki bu nişan olmadan tamamlanmış növbələr artıq başqa bir məhv yolu tərəfindən idarə olunur və onlara toxunulmamalıdır. inet_frag_kill() tərəfindən silinmiş taymer istinadının azad edilməsi, növbə kilidi buraxıldıqdan sonra inet_frag_putn() funksiyasına təxirə salınır. KASAN hesabatı: BUG: KASAN: slab-out-of-bounds in ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) Write of size 1 at addr ff110001039c6e00 by task poc/771 Call Trace: ? ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:479 (discriminator 5)) ip6_input_finish (net/ipv6/ip6_input.c:534) ipv6_rcv (include/net/dst.h:480 (discriminator 3) net/ipv6/ip6_input.c:119 (discriminator 3) net/ipv6/ip6_input.c:109 (discriminator 3) include/linux/netfilter.h:325 (discriminator 3) include/linux/netfilter.h:319 (discriminator 3) net/ipv6/ip6_input.c:351 (discriminator 3)) packet_sendmsg (net/packet/af_packet.c:3110 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) The buggy address belongs to the object at ff110001039c6b40 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 0 bytes to the right of allocated 704-byte region [ff110001039c6b40, ff110001039c6e00) BUG: KASAN: slab-out-of-bounds in ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) Read of size 1 at addr ff110001039c6e08 by task poc/771 Call Trace: ? ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) ip6_input_finish (net/ipv6/ip6_input.c:534) ipv6_rcv (include/net/dst.h:480 (discriminator 3) net/ipv6/ip6_input.c:119 (discriminator 3) net/ipv6/ip6_input.c:109 (discriminator 3) include/linux/netfilter.h:325 (discriminator 3) include/linux/netfilter.h:319 (discriminator 3) net/ipv6/ip6_input.c:351 (discriminator 3)) packet_sendmsg (net/packet/af_packet.c:3110 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) packet_sendmsg (net/packet/af_packet.c:2959 net/packet/af_packet.c:3053 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) The buggy address belongs to the object at ff110001039c6b40 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 8 bytes to the right of allocated 704-byte region [ff110001039c6b40, ff110001039c6e00)