CVE-2026-99033

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: net/packet: packet_rcv_spkt() funksiyasında ll başlığının push əməliyyatını qoruyun packet_rcv_spkt() funksiyası link layı başlığını aşağıdakı şəkildə bərpa edir: skb_push(skb, skb->data - skb_mac_header(skb)); Həmin çıxma əməliyyatı yalnız cihazın həqiqətən link layı başlığı olduğu halda mənalıdır. həm packet_rcv(), həm də tpacket_rcv() bunu dev_has_header() ilə əhatə edir ki, bu da faylın yuxarı hissəsindəki blok şərhində bərpanın şərti kimi qeyd edilmişdir; lakin packet_rcv_spkt() bunu etmir. d549699048b4 ("net/packet: fix packet receive on L3 devices without visible hard header") commit-i köməkçi funksiyanı təqdim etmiş və iki çağırış nöqtəsini dəyişmişdir, lakin bu nöqtə dəyişdirilmədən qalmışdı. Görünən ll başlığı olmayan bir cihaz skb->mac_header-i __alloc_skb() tərəfindən təyin edilən 0xFFFF sentinel dəyərində saxlaya bilər. Bir CAN skb belə işləyir: init_can_skb() pkt_type və ip_summed dəyərlərini təyin edir, lakin başlıqları sıfırlamır və 9f10374bb024 ("can: remove private CAN skb headroom infrastructure") commit-i orada olan skb_reset_*_header() çağırışlarını silmişdir. Beləliklə, skb_mac_header() 0xFFFF olur, uzunluq böyük mənfi ədədə çevrilir və skb_push() bunu skb_under_panic() vasitəsilə bildirir — bu, softirq kontekstindən baş verdiyi üçün panic_on_oops=0 olsa belə tam sistem panikasına səbəb olur: skbuff: skb_under_panic: text:ffffffff8bd21bc1 len:-65455 put:-65471 head:... data:... tail:0x50 end:0x180 dev:can0 kernel BUG at net/core/skbuff.c:214! RIP: 0010:skb_panic+0x50/0x60 Call Trace: <IRQ> skb_push+0x38/0x40 packet_rcv_spkt+0xe1/0x170 __netif_receive_skb_core.constprop.0+0x7e8/0xd30 ... Kernel panic - not syncing: Fatal exception in interrupt Soket tipi əlçatandır: packet_create() eyni CAP_NET_RAW yoxlaması altında SOCK_RAW və SOCK_DGRAM ilə yanaşı SOCK_PACKET-i də qəbul edir və nə soket uzunluğu, nə də imkan (capability) yoxlaması onu CAN interfeysindən uzaq tutmur. init_can_skb() funksiyasındakı çatışmayan skb_reset_*_header() çağırışları özlüyündə bir reqressiyadır və ayrıca düzəldilir, lakin paket soketi mac başlığını başlatmayan link layını nüvə panikasına çevirməməlidir. Push əməliyyatını digər iki qəbul yolu kimi qoruyun. QEMU altında pty üzərində slcan cihazı ilə v7.3-rc5 versiyasında sınaqdan keçirilmişdir, hansı ki, sürücü RX yoludur: vcan bunu təkrar etmir, çünki can_send() çıxış zamanı başlıqları sıfırlayır. can0-a bağlanmış bir SOCK_PACKET soketi və xətt intizamına yazılan bir kadr, yamaqlanmamış nüvəni yuxarıdakı izlə panikaya salır; eyni obraz bu yamaqla heç bir panika vermir və normal şəkildə söndürülür. Hər iki nüvə bu ağaca aiddir, defconfig və CONFIG_CAN_SLCAN=y konfiqurasiyası ilə, yalnız bu hissə ilə fərqlənirlər.