CVE-2026-31774

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: io_uring/net: io_bundle_nbufs() fonksiyonundaki slab-out-of-bounds okuma hatası düzeltildi sqe->len __u32 tipindedir ancak int tipindeki sr->len değişkenine kaydedilmektedir. Kullanıcı alanı INT_MAX değerini aşan sqe->len değerleri (örneğin 0xFFFFFFFF) ilettiğinde, sr->len negatif bir değere taşmaktadır. Bu negatif değer, bundle recv/send yolu boyunca yayılmaktadır: 1. io_recv(): sel.val = sr->len (ssize_t değeri -1 olur) 2. io_recv_buf_select(): arg.max_len = sel->val (size_t değeri 0xFFFFFFFFFFFFFFFF olur) 3. io_ring_buffers_peek(): max_len astronomik düzeyde büyük olduğu için buf->len sınırlandırılmaz 4. iov[].iov_len = 0xFFFFFFFF değeri io_bundle_nbufs() fonksiyonuna aktarılır 5. io_bundle_nbufs(): min_t(int, 0xFFFFFFFF, ret) işlemi -1 sonucunu verir; bu da ret değerinin azalmak yerine artmasına neden olarak tahsis edilen iov[] dizisinin ötesini okuyan sonsuz bir döngü oluşturur Bu durum, nbufs değeri tahsis edilen iovec girişlerini aştığında, kmalloc-64 slab üzerinden io_bundle_nbufs() içerisinde bir slab-out-of-bounds okumasına yol açar. BUG: KASAN: slab-out-of-bounds in io_bundle_nbufs+0x128/0x160 Read of size 8 at addr ffff888100ae05c8 by task exp/145 Call Trace: io_bundle_nbufs+0x128/0x160 io_recv_finish+0x117/0xe20 io_recv+0x2db/0x1160 Bu sorun, hem io_sendmsg_prep() hem de io_recvmsg_prep() fonksiyonlarında negatif sr->len değerlerinin erkenden reddedilmesiyle düzeltilmiştir. sqe->len __u32 olduğundan, INT_MAX'tan büyük herhangi bir değer taşmaya işaret eder ve geçerli bir uzunluk değildir.