CVE-2026-98432

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: ipv4: RCU lütf dövründən sonra inet_opt və ireq_opt-ni azad edin tcp_v4_syn_recv_sock() funksiyası ireq->ireq_opt mülkiyyətini kopyalamadan alt soketə (newinet->inet_opt) ötürür. Başqa bir CPU eyni sorğu soketi üçün yenidən göndərilmiş SYN paketini eyni vaxtda emal edə və tcp_check_req() vasitəsilə SYNACK göndərə bilər. tcp_v4_send_synack() və inet_csk_route_req() yalnız rcu_read_lock() altında ireq->ireq_opt-ni oxuyur, daha sonra ip_build_and_send_pkt() və ip_options_build() opt->optlen dəyərini iki dəfə oxuyur. Qeyd edək ki, SYNACK taymerinin özü problem yaratmır: o, sorğu soketinə istinad saxlayır və alt soket azad edilməzdən əvvəl inet_csk_reqsk_queue_drop() funksiyası timer_delete_sync()-i çağırır. 079096f103fa ("tcp/dccp: install syn_recv requests into ehash table") kommitindən etibarən sorğu soketləri dinləyici kilidi (listener lock) saxlanılmadan emal edilir, buna görə də SYNACK hələ qurularkən alt soketin azad edilməsinə mane olan heç nə yoxdur. TCP alt soketləri SOCK_RCU_FREE-yə malik deyil və inet_sock_destruct() funksiyası inet_opt-ni adi kfree() ilə azad edir ki, bu da ip_options_build()-də use-after-free zəifliyinə səbəb olur. Buna bənzər bir problem sorğu soketinin miqrasiyası zamanı da mövcuddur (net.ipv4.tcp_migrate_req=1 və ya BPF_SK_REUSEPORT_SELECT_OR_MIGRATE proqramı). reqsk_timer_handler() funksiyası sorğu soketini inet_reqsk_clone() ilə klonlayır, beləliklə köhnə sorğu soketi və onun klonu eyni ireq_opt-ni paylaşır, sonra isə reqsk_migrate_reset() köhnədəki göstəricini təmizləyir. Köhnə sorğu soketinə istinadı saxlayan başqa bir CPU, klon azad edildiyi zaman hələ də bu seçimlərdən istifadə edə bilər (SYNACK göndərmək və ya tcp_v4_syn_recv_sock()-da alt soket yaratmaq), və tcp_v4_reqsk_destructor() da adi kfree()-dən istifadə edir. Oxucular artıq RCU-dan istifadə edirlər və inet_opt-ni əvəzləyən digər yollar (do_ip_setsockopt(), cipso_v4_sock_setattr()...) artıq kfree_rcu()-dan istifadə edir. Eynilə inet_sock_destruct() və tcp_v4_reqsk_destructor() funksiyalarında da kfree_rcu() istifadə edin. IPv6 birinci problemlə təsirlənmir, çünki tcp_v6_syn_recv_sock() seçimləri dublikatlaşdırır. tcp_v6_reqsk_destructor() funksiyasının ipv6_opt ilə eyni miqrasiya problemi var ki, bu da yalnız CALIPSO tərəfindən təyin edilir. Bu məsələ ayrıca yamada həll olunacaq.