CVE-2026-23111

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: netfilter: nf_tables: nft_map_catchall_activate() fonksiyonundaki ters çevrilmiş genmask kontrolü düzeltildi nft_map_catchall_activate(), karşıtı olan nft_mapelem_activate() fonksiyonuna ve mantıksal gerekliliklere kıyasla ters çevrilmiş bir öğe etkinlik kontrolüne sahiptir. nft_map_catchall_activate(), başarısız bir işlem sırasında devre dışı bırakılan catchall harita öğelerini yeniden etkinleştirmek için iptal yolundan çağrılır. Zaten aktif olan öğeleri atlamalı (yeniden etkinleştirmeye gerek yoktur) ve aktif olmayan öğeleri işlemelidir (bunların geri yüklenmesi gerekir). Bunun yerine mevcut kod tam tersini yapmaktadır: aktif olmayan öğeleri atlar ve aktif olanları işler. Doğru çalışan catchall olmayan aktivasyon geri çağırmasıyla karşılaştırıldığında: nft_mapelem_activate(): if (nft_set_elem_active(ext, iter->genmask)) return 0; /* aktifi atla, pasifi işle */ Hatalı catchall versiyonu ile: nft_map_catchall_activate(): if (!nft_set_elem_active(ext, genmask)) continue; /* pasifi atla, aktifi işle */ Bunun sonucu olarak, bir DELSET işlemi iptal edildiğinde, catchall öğesi için nft_setelem_data_activate() hiçbir zaman çağrılmaz. NFT_GOTO hüküm öğeleri için bu durum, chain->use referans sayısını geri yüklemek amacıyla nft_data_hold() fonksiyonunun hiçbir zaman çağrılmadığı anlamına gelir. Her iptal döngüsü, chain->use değerini kalıcı olarak azaltır. chain->use sıfıra ulaştığında, DELCHAIN işlemi başarılı olur ve catchall hüküm öğeleri hala ona referans verirken zinciri serbest bırakır, bu da bir serbest bırakıldıktan sonra kullanım (use-after-free) durumuna yol açar. Bu durum, CONFIG_USER_NS ve CONFIG_NF_TABLES seçeneklerini etkinleştiren dağıtımlarda, ayrıcalıksız bir kullanıcı tarafından user namespaces + nftables aracılığıyla yerel yetki yükseltme için istismar edilebilir. Kontrolün nft_mapelem_activate() ile eşleşmesi için olumsuzlama kaldırılarak sorun giderilmiştir: aktif öğeler atlanır, aktif olmayanlar işlenir.