CVE-2026-43038

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: ipv6: icmp: ip6_err_gen_icmpv6_unreach() fonksiyonunda skb2->cb[] temizleniyor Sashiko AI-incelemesi şunları gözlemlemiştir: ip6_err_gen_icmpv6_unreach() fonksiyonunda skb, cb kısmının bir IPv4 inet_skb_parm içerdiği dış bir IPv4 ICMP hata paketidir. skb, skb2 olarak klonlanıp icmp6_send() fonksiyonuna iletildiğinde IP6CB(skb2) kullanılır. IP6CB, IPv4 inet_skb_parm yapısını bir inet6_skb_parm olarak yorumlar. inet_skb_parm.opt içindeki cipso ofseti, 18. ofsetteki inet6_skb_parm içindeki dsthao ile doğrudan örtüşür. Bir saldırgan, CIPSO IP seçeneği içeren sahte bir ICMPv4 hatası gönderirse, dsthao sıfır olmayan bir ofset olur. icmp6_send() içerisinde mip6_addr_swap() çağrılır ve ipv6_find_tlv(skb, opt->dsthao, IPV6_TLV_HAO) kullanılır. Bu durum, belirtilen ofsetten başlayarak saldırgan tarafından kontrol edilen iç IPv6 paketini tarayacak ve kalan paket uzunluğunun tam 18 baytlık struct ipv6_destopt_hao yapısını barındırıp barındıramayacağını kontrol etmeden potansiyel olarak sahte bir TLV döndürecektir. Ardından mip6_addr_swap(), paket verilerinin sonunu aşarak skb_shared_info alanına kadar uzanan 16 baytlık bir takas işlemi gerçekleştirebilir mi? Bunu önlemek için cb dizisi ip6_err_gen_icmpv6_unreach() ve ip6ip6_err() fonksiyonlarında da temizlenmeli midir? Bu yama ilk öneriyi uygulamaktadır. ip6ip6_err() fonksiyonunun değiştirilmesi gerekip gerekmediğinden emin değilim. Her halükarda ayrı bir yama daha iyi olacaktır.