CVE-2026-53223

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: net: zaman damgası cmsg'lerini gerçek hata kuyruğu skb'leri için koruma altına alma skb_is_err_queue(), PACKET_OUTGOING değerini sk_error_queue'dan gelen bir skb için tek belirteç olarak kabul eder. Bu varsayım AF_PACKET soketleri için doğru değildir: giden paket muslukları da skb->pkt_type == PACKET_OUTGOING ile paket soketlerine iletilir ancak bunların skb->cb alanı struct sock_exterr_skb yerine AF_PACKET tarafından sahiplenilir. Zaman damgalama etkinleştirilmişken böyle bir skb alınırsa, genel zaman damgası cmsg yolu, AF_PACKET kontrol tamponu durumunu sock_exterr_skb::opt_stats olarak okuyabilir. SO_RXQ_OVFL etkin olduğunda, paket düşürme sayacı opt_stats ile örtüşür. Tek sayıdaki bir düşürme sayısı, yolun skb->len ve skb->data ile SCM_TIMESTAMPING_OPT_STATS yayınlamasına neden olur. Doğrusal olmayan skb'ler için bu işlem doğrusal başlığın ötesine kopyalama yapar ve hardened usercopy'yi tetikleyebilir veya bitişik yığın içeriklerini ifşa edebilir. skb_is_err_queue() fonksiyonu net/socket.c içinde yerel tutulmuş, ancak PACKET_OUTGOING belirtecinin sock_queue_err_skb() tarafından yüklenen sock_rmem_free yıkıcısı ile eşleştiğini doğrulaması sağlanmıştır. AF_PACKET alım skb'leri normal alım sahipliği kullanır ve artık hata kuyruğu skb'leri olarak geçmez; meşru sk_error_queue girişleri ise PACKET_OUTGOING belirtecini ve sock_rmem_free sahipliğini korur.