CVE-2026-63923

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: octeontx2-af: rvu_mbox_handler_rep_event_notify içindeki gövde pcifunc değerini doğrula drivers/net/ethernet/marvell/octeontx2/af/rvu_rep.c dosyasındaki rvu_mbox_handler_rep_event_notify() fonksiyonu, gönderici tarafından kontrol edilen bir REP_EVENT_NOTIFY istek gövdesini olduğu gibi kuyruğa alır ve ardından rvu_rep_up_notify(), event->pcifunc değerini (AF-normalize edilmiş başlık pcifunc'tan farklı olan iç gövde alanı), herhangi bir sınır kontrolü yapmaksızın rvu_get_pfvf(), rvu_get_pf() ve AF->PF posta kutusu aygıt dizinine iletir. switchdev representor moduna alınmış bir PF'ye bağlı bir VF şu yola ulaşır: VF posta kutusu işleyicisi otx2_pfvf_mbox_handler(), MBOX_MSG_REP_EVENT_NOTIFY dahil tüm mesaj kimliklerini bir izin listesi olmaksızın AF'ye iletir ve AF dağıtıcısı yalnızca msg->pcifunc kısmını yeniden yazar, böylece struct rep_event::pcifunc saldırganın kontrolünde kalır. Benzer rvu_mbox_handler_esw_cfg() fonksiyonu, başlık pcifunc değeri rvu->rep_pcifunc olmayan istekleri reddeder; ancak bu işleyici için eşdeğer bir denetim mekanizması yoktur. Kapsam dışı bir gövde pcifunc değeri, tahsis edilen dizinin ötesinde bir &rvu->pf[]/&rvu->hwvf[] öğesini seçer ve RVU_EVENT_MAC_ADDR_CHANGE durumu için, kuyruğa alınmış işlemci içinde saldırgan tarafından seçilen altı baytlık bir OOB ether_addr_copy() hedefine dönüşür; KASAN, rvu_rep_wq_handler içinde bir slab-out-of-bounds yazma hatası bildirir. Bu sürücüdeki standart PF/VF aralık kontrolü olan is_pf_func_valid() üzerinden denetim sağlayarak hatalı istekler işleyici girişinde reddedilir; rvu_rep.c içindeki çağrıcıların aynı aralık aritmetiğini açıkça kodlamak yerine kullanabilmesi için bu fonksiyon rvu.h aracılığıyla erişime açılmıştır.