CVE-2026-98802

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: seg6: SRH və IPv6 DA dəyişdirilməzdən əvvəl paket məlumatlarının yazıla bilən olduğundan əmin olun advance_nextseg() funksiyası paket məlumatlarının yazıla bilən olduğunu yoxlamadan SRH Segments Left sahəsini və IPv6 təyinat ünvanını dəyişdirir. seg6_next_csid_advance_arg() funksiyası təyinat ünvanındakı NEXT-C-SID arqumentini irəli çəkərkən eyni problemlə qarşılaşır. Məsələn, daxil olan cihazda qəbul edən bir AF_PACKET soketi tərəfindən skb klonlana bilər. Bu zaman advance_nextseg() və seg6_next_csid_advance_arg() klonla paylaşılmış paket məlumatlarına yazma əməliyyatı yerinə yetirir. Həmin soketdən oxuma əməliyyatı qəbul edilmiş paket əvəzinə dəyişdirilmiş paketi qaytara bilər. Aşağıdakı sadələşdirilmiş yol bunu advance_nextseg() üçün göstərir: __netif_receive_skb_one_core __netif_receive_skb_core deliver_skb [orig: users=2, cloned=0] packet_rcv skb_clone klon AF_PACKET soketinə növbəyə alınır consume_skb(orig) [orig: users=1, cloned=1] ipv6_rcv ip6_rcv_core skb_share_check: no-op [orig: users=1] [...] input_action_end_core advance_nextseg klonla paylaşılmış məlumatlara yazır Paket məlumatlarını dəyişdirməzdən əvvəl advance_nextseg() və seg6_next_csid_advance_arg() funksiyalarında skb_ensure_writable() çağırılsın. skb_ensure_writable() funksiyası skb->head-i yenidən ayıra bilər ki, bu da çağırışdan əvvəl götürülmüş paket məlumatları göstəricilərini etibarsız edir. advance_nextseg() artıq etibarlı SRH göstəricisini, yaxud skb_ensure_writable() uğursuz olduqda NULL qaytarır. seg6_next_csid_advance_arg() təyinat ünvanına olan göstəricini skb_ensure_writable()-dən sonra skb-dən götürür. Uğursuzluq halında çağıranlar paketi SKB_DROP_REASON_NOMEM ilə atırlar.