CVE-2026-98368

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: esp: skb fraqmentlərini dəyişdirməzdən əvvəl zerocopy tərəfindən idarə olunan fraqmentləri downgrade edin Yerində olmayan çıxış yolunda (esp->inplace == false) ESP skb fraqment massivini yenidən yazır: esp_output_head() sonluq fraqmenti əlavə edir və esp_output_tail() fraqmentləri təyinat səhifəsi ilə əvəzləyir, hər ikisi get_page() ilə istinad edilir. skb zerocopy tərəfindən idarə olunan fraqmentlər (SKBFL_MANAGED_FRAG_REFS) daşıdıqda, faydalı yük fraqmentləri ubuf-a məxsusdur və fərdi şəkildə istinad edilməməli və ya istinadı ləğv edilməməlidir, lakin ESP skb-ni heç vaxt downgrade etmədən fraqment massivini dəyişdirir. Bu, idarə olunan fraqment invariantını iki yolla pozur: - esp_ssg_unref() mənbə scatterlist-i gəzir və hər bir fraqment üçün, o cümlədən ubuf-a məxsus faydalı yük fraqmentləri üçün səhifə istinadını ləğv edir, bu isə səhifələr hələ də sabitləndiyi halda onların refcount-unu GUP pin bias-ından aşağı salır, yəni zerocopy səhifələrinin use-after-free xətasına səbəb olur; - esp_output_tail() öz təyinat səhifəsini get_page() ilə frag 0 kimi quraşdırır, lakin SKBFL_MANAGED_FRAG_REFS bayrağını aktiv saxlayır, buna görə də skb_release_data() skip_unref budağına keçir və həmin istinadı heç vaxt ləğv etmir, nəticədə paket sürəti ilə x->xfrag səhifəsi sızır. Bu problemi digər bütün fraqment-dəyişdirici sahələrin (__ip_append_data(), __ip6_append_data(), tcp_sendmsg_locked()) etdiyi kimi düzəldin və ESP fraqment massivinə toxunmazdan əvvəl skb_zcopy_downgrade_managed() funksiyasını çağırın: bu funksiya mövcud hər bir fraqment üzərində real istinad yaradır və SKBFL_MANAGED_FRAG_REFS bayrağını sıfırlayır, beləliklə esp_ssg_unref()-dəki hər fraqment üçün unref və skb_release_data()-dakı fraqment buraxılması balanslaşdırılır və qarışıq mülkiyyətli fraqment massivi qalmır.