CVE-2026-46132

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: net: rtnetlink: rtnl_fill_vfinfo içinde yığın bilgi sızıntısını önlemek için ifla_vf_broadcast sıfırlanıyor rtnl_fill_vfinfo() işlevi, struct ifla_vf_broadcast yapısını yığın üzerinde başlatmadan bildirir: struct ifla_vf_broadcast vf_broadcast; Yapı, tek bir sabit 32 baytlık alan içerir: /* include/uapi/linux/if_link.h */ struct ifla_vf_broadcast { __u8 broadcast[32]; }; İşlev daha sonra dev->broadcast değerini, uzunluk olarak dev->addr_len kullanarak bu yapıya kopyalar: memcpy(vf_broadcast.broadcast, dev->broadcast, dev->addr_len); Ethernet aygıtlarında (SR-IOV NIC'lerin büyük çoğunluğu) dev->addr_len 6'dır, bu nedenle broadcast[] dizisinin yalnızca ilk 6 baytı yazılır. Kalan 26 bayt, çekirdek yığınında daha önce bulunan verileri korur. Ardından tam yapı, aşağıdaki çağrı ile kullanıcı alanına aktarılır: nla_put(skb, IFLA_VF_BROADCAST, sizeof(vf_broadcast), &vf_broadcast) Bu, RTM_GETLINK isteği başına VF başına 26 bayta kadar başlatılmamış çekirdek yığını verisinin sızmasına yol açar ve tekrarlanabilir. Aynı işlevdeki diğer vf_* yapıları tam olarak bu nedenle açıkça sıfırlanmaktadır - birkaç satır yukarıdaki ivi, vf_vlan_info, node_guid ve port_guid için memset() çağrılarına bakın. vf_broadcast, eklendiğinde basitçe gözden kaçırılmıştır. Erişilebilirlik: ayrıcalıksız herhangi bir yerel süreç, yetki gerektirmeden AF_NETLINK / NETLINK_ROUTE açabilir ve RTEXT_FILTER_VF taşıyan bir IFLA_EXT_MASK özniteliğiyle RTM_GETLINK gönderebilir. Çekirdek her VF'yi dolaşır ve IFLA_VF_BROADCAST yayarak istek başına VF başına 26 bayt yığın verisi sızdırır. Bu çağrı noktasındaki yığın kalıntısı dönüş adreslerini ve geçici hassas verileri içerebilir; yığın enstrümantasyonlu KASAN veya KMSAN, yeniden üretildiğinde nla_put() çağrısını işaretleyecektir. Kısmi memcpy öncesinde yığın üzerindeki yapıyı sıfırlayın; bu, aynı işlevdeki diğer vf_* yapıları için kullanılan mevcut kalıpla uyumludur.