CVE-2026-53175

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: inet: frags: fqdir_pre_exit() temizlemesinin neden olduğu serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi netns yıkımı sırasında, fqdir_pre_exit() fqdir rhashtable yapısını tarar ve henüz tamamlanmamış her parçalı kuyruğu inet_frag_queue_flush() kullanarak temizler. Bu yardımcı fonksiyon, parçalı kuyrukta bekleyen tüm skb'leri serbest bırakır ancak INET_FRAG_COMPLETE değerini ayarlamaz; ayrıca q->fragments_tail ve q->last_run_head değişkenlerinin serbest bırakılan skb'lere işaret etmesine neden olur. Kuyruğun kendisi ise rhashtable içinde kalmaya devam eder. fqdir_pre_exit(), yeni kuyruk aramalarını durdurmak için önce high_thresh değerini 0'a indirir, ancak daha önce inet_frag_find() aracılığıyla kuyruğu elde etmiş ve kuyruk kilidini almadan hemen önce takılmış bir parçayı durduramaz. Söz konusu parça, temizleme işleminden sonra yeniden başladığında ve kuyruk kilidini aldığında, INET_FRAG_COMPLETE kontrolünü geçer ve ardından serbest bırakılmış fragments_tail referansını çözer. inet_frag_queue_insert(), bu işaretçinin FRAG_CB() ve ->len değerlerini okur ve ekleme yolunda ->next_frag değerini yazar; bu durum bir slab serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. IPv6, nf_conntrack_reasm6 ve 6lowpan yeniden birleştirme işlemleri aynı temizleme yolunu paylaşmaktadır ve onlar da etkilenmektedir. Temizlenen bir kuyruğun artık serbest bırakılan skb'lere işaret etmemesi için inet_frag_queue_flush() içerisinde rb_fragments, fragments_tail ve last_run_head sıfırlanmıştır. Temizleme işleminden sonra yeniden başlayan ve kuyruk kilidini alan bir parça, böylece boş bir kuyruk bulur ve serbest bırakılmış fragments_tail referansını çözmek yerine yeni bir çalışma başlatır. ip_frag_reinit() kendi temizleme işleminden sonra bu sıfırlamayı zaten gerçekleştirdiği için, oradaki mükerrer hale gelen kod kaldırılmıştır.