CVE-2026-98134

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: bpf: check_cond_jmp_op(): registrin null olub-olmadığının düzgün təyin edilməsi Nicholas Carlini, verifier-in bir göstəricinin (pointer) null olmadığını yanlış şəkildə təyin edə bildiyi bir xəta barədə məlumat vermişdir. Xəta iki göstərici müqayisə edildikdə və onlardan biri PTR_MAYBE_NULL bayrağına malik olmayan, lakin iş vaxtında (runtime) dəyəri NULL ola bilən tipdə olduqda baş verir. Budur nümunə: // `a` PTR_TO_MEM | MEM_RDONLY | PTR_UNTRUSTED tipindədir // `a` iş vaxtında 0-dır. // `b` PTR_TO_MAP_VALUE | PTR_MAYBE_NULL tipindədir void *a = bpf_rdonly_cast(0, 0); int *b = bpf_map_lookup_elem(...); if (a == b) *b = 42; // verifier null pointer dereference halını aşkar etmir Bu, check_cond_jmp_op() funksiyasındakı xüsusi bir hal səbəbindən baş verir; bu funksiya `rA == rB` kimi müqayisələri emal edərkən, əgər rA və ya rB null ola bilmirsə, göstərici tiplərindən PTR_MAYBE_NULL bayraqlarını silməyə çalışır. Null olmama xassəsi rA və ya rB-nin tipində PTR_MAYBE_NULL bayrağının olmaması əsasında törədilir. Lakin nümunədə olduğu kimi, PTR_TO_MEM kimi tiplər üçün bu kifayət deyil. Bu yamaq type_may_be_null() çağırışını reg_not_null() ilə əvəz edir. reg_not_null() funksiyası elə tiplərin ağ siyahısını saxlayır ki, həmin tiplərdə PTR_MAYBE_NULL bayrağının olmaması faktiki olaraq dəyərin iş vaxtında NULL ola bilməyəcəyi mənasına gəlir. Hazırda reg_not_null() siyahısında PTR_MAYBE_NULL tətbiq oluna bilən iki tip buraxılıb: PTR_TO_XDP_SOCK və PTR_TO_BUF. Geri uyğunluğu qorumaq üçün və yalnız eyni tipdəki göstəricilər arasındakı müqayisənin mənalı olduğunu fərz edərək, bu commit reg_not_null() funksiyasını genişləndirir. Belə genişləndirmə olmadan, məsələn, verifier_jeq_infer_not_null/null_ptr_to_map_value uğursuz olur. reg_not_null() daha da genişləndirilə bilər, lakin hesab edirəm ki, bu, cari düzəlişin çərçivəsindən kənardır. check_cond_jmp_op() daxilindəki açıq base_type(...) != PTR_TO_BTF_ID yoxlamaları reg_not_null()-ə keçidlə birlikdə silinə bilər, lakin bu davranış dəyişikliyidir, çünki xüsusi hal həmçinin is_trusted_reg() olan PTR_TO_BTF_ID üçün də uyğun gəlməyə başlayacaqdı. Davranış dəyişikliyini bu commit-dən çıxardım.