CVE-2026-23074

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: net/sched: teql'in yalnızca kök qdisc olarak kullanılabileceğinin zorunlu kılınması teql'in tasarım amacı, yalnızca kök qdisc olarak kullanılmasıdır. Bu kısıtlamanın kontrol edilmesi gerekmektedir. Önemli olmasa da, merak edenler için bu sorunu ortaya çıkaran senaryoyu açıklayacağım. GangMin Kim <[email protected]> şu şekilde bir senaryo oluşturmayı başarmıştır: ROOT qdisc 1:0 (QFQ) ├── class 1:1 (weight=15, lmax=16384) 6.4s gecikmeli netem └── class 1:2 (weight=1, lmax=1514) teql GangMin, 1:1 (netem) sınıfına kuyruğa alınan bir paket gönderir. QFQ tarafından bu sınıftan yapılacak herhangi bir dequeue çağrısı, 6.4 saniye geçene kadar bir paket döndürmeyecektir. Bu sırada ikinci bir paket gönderilir ve 1:2 sınıfına düşer. teql'in enqueue işlemi başarıyla dönecek ve bu durum 1:2 sınıfını etkinleştirecektir. Temel sorun, teql'in üst dizine görünür olan qlen değerini (sch->q.qlen) yalnızca dequeue sırasında güncellemesidir. QFQ, dequeue işlemini yalnızca peek başarılı olursa çağıracağından (ve teql'in peek fonksiyonu her zaman NULL döndürdüğünden), dequeue hiçbir zaman çağrılmayacak ve böylece qlen değeri 0 kalacaktır. Bunu göz önünde bulundurarak, GangMin 1:2'nin lmax değerini güncellediğinde, qfq_change_class fonksiyonu qfq_deact_rm_from_agg fonksiyonunu çağırır. Alt qdisc'in qlen değeri artırılmadığı için qfq sınıfı devre dışı bırakamaz ancak yine de işaretçilerini agregattan serbest bırakır. Dolayısıyla, ilk paket 6.4 saniye sonra (netem gecikmesi) yeniden planlandığında, askıda kalan bir işaretçiye erişilir ve bu durum GangMin'in yaşadığı UAF hatasına neden olur.