CVE-2025-39986

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: can: sun4i_can: arabellek taşmasını önlemek için ndo_change_mtu() dolduruldu Bir PF_PACKET gönderimi, CAN çerçeve mantığının atlanmasına ve bir CAN sürücüsünün xmit() fonksiyonuna doğrudan ulaşılmasına olanak tanır. PF_PACKET çerçevesi tarafından gerçekleştirilen tek kontrol, skb->len değerinin arayüzün MTU değeriyle uyumlu olduğundan emin olmaktır. Maalesef, sun4i_can sürücüsü net_device_ops->ndo_change_mtu() kısmını doldurmadığı için, bir saldırganın örneğin şu işlemi yaparak geçersiz bir MTU yapılandırması mümkündür: $ ip link set can0 mtu 9999 Bunu yaptıktan sonra saldırgan, kötü amaçlı CAN XL çerçeveleri enjekte etmek için ETH_P_CANXL protokolünü kullanarak bir PF_PACKET soketi açabilir: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) Örneğin: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; CAN sürücülerinin xmit() fonksiyonları, skb'nin geçerli olup olmadığını kontrol etmek için can_dev_dropped_skb() fonksiyonunu çağırır; ancak yukarıdaki koşullar altında, kötü amaçlı paket can_dev_dropped_skb() kontrollerini geçebilir: 1. skb->protocol, geçerli olan ETH_P_CANXL olarak ayarlanmıştır (fonksiyon gerçek cihaz yeteneklerini kontrol etmez). 2. uzunluk, geçerli bir CAN XL uzunluğudur. Böylece sun4ican_start_xmit(), doğru şekilde işleyemeyeceği bir CAN XL çerçevesi alır ve bunu bir CAN çerçevesi olarak yanlış yorumlar. Bu durum bir arabellek taşmasına yol açabilir. Sürücü, şu satırda başka hiçbir kontrol yapmadan cf->len değerini olduğu gibi kullanacaktır: dlc = cf->len; Burada cf->len, CAN XL çerçevesinin flags alanına karşılık gelir. Önceki örneğimizde canxl_frame->flags değerini 0xff olarak ayarlamıştık. Beklenen maksimum uzunluk 8 olduğundan, birkaç satır aşağıda şu işlem yapılırken 247 baytlık bir arabellek taşması meydana gelir: for (i = 0; i < dlc; i++) writel(cf->data[i], priv->base + (dreg + i * 4)); Arayüzün MTU değerinin CAN_MTU'dan daha büyük bir değere ayarlanamamasını sağlamak için net_device_ops->ndo_change_mtu() doldurulmuştur. Kök nedenin düzeltilmesiyle bu arabellek taşması önlenmiştir.