CVE-2026-43501

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: ipv6: rpl: yeniden sıkıştırılmış SRH büyüdüğünde mac_len baş boşluğu (headroom) ayırın ipv6_rpl_srh_rcv() bir RFC 6554 Kaynak Yönlendirme Başlığını (Source Routing Header) sıkıştırmayı kaldırır, sonraki segmenti ipv6_hdr->daddr ile değiştirir, yeniden sıkıştırır ve ardından eski başlığı çekip yeni olanı ve IPv6 başlığını geri iter. Değiştirme işlemi, segmentlerin daddr ile paylaştığı ortak önek uzunluğunu azalttığında, yeniden sıkıştırılan başlık alınan başlıktan daha büyük olabilir (CmprI=0, CmprE>0, seg[0][0] != daddr[0 durumu maksimum +8 bayt sağlar). pskb_expand_head() fonksiyonu segments_left == 0 koşuluna bağlıydı, bu nedenle önceki segmentlerde itme işlemi kontrol edilmeyen baş boşluğunu tüketiyordu. skb_push() veri önünde skb->mac_len baytından daha az yer bıraktığında, skb_mac_header_rebuild()'in şu çağrısı: skb_set_mac_header(skb, -skb->mac_len); (data - head) - mac_len değerini u16 mac_header alanına kaydeder, bu da yaklaşık 65530'a döner (wrap) ve takip eden memmove() işlemi skb->head'den yaklaşık 64KiB sonrasına mac_len bayt yazar. lo üzerinden iki segmentli tip-3 SRH (CmprI=0, CmprE=15) içeren tek bir AF_INET6/SOCK_RAW/IPV6_HDRINCL paketi, bir geçişten sonra 8 baş boşluğuna ulaşır; KASAN, ipv6_rthdr_rcv içerisinde 14 baytlık bir sınır dışı (OOB) yazma rapor eder. Kalan alan, itme boyutu artı mac_len'den daha az olduğunda başlığı genişleterek ve yeniden oluşturulan MAC başlığının sonrasında sığabilmesi için bu kadar ekstra alan talep ederek bu sorun giderilmiştir.