CVE-2026-64114

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ipv4: raw: ihl < 5 olan IP_HDRINCL paketlerini reddet raw_send_hdrinc(), çağıran tarafından sağlanan IPv4 başlığının mesaj uzunluğuna uygun olduğunu doğrular: iphlen = iph->ihl * 4; err = -EINVAL; if (iphlen > length) goto error_free; if (iphlen >= sizeof(*iph)) { /* saddr, tot_len, id, csum, transport_header düzeltmeleri yapılır */ } Ancak, ihl < 5 durumunu reddetmez. Böyle bir paket için "if (iphlen >= sizeof(*iph))" dalı atlanır ve özel olarak hazırlanmış iphdr olduğu gibi bırakılır, ancak paket yine de __ip_local_out() fonksiyonuna ve sonrasına iletilir. iph->ihl değerini okuyan alt tüketici bileşenler makul bir değer olduğunu varsayar: özellikle net/ipv4/ah4.c:ah_output(), top_iph->ihl * 4 değerinden sizeof(struct iphdr) çıkarır ve sonucu (işaretli tam sayı negatif, ardından size_t türüne dönüştürülmüş şekilde) memcpy() fonksiyonuna aktararak SIZE_MAX yakınlığında bir uzunlukta OOB erişimine ve ana bilgisayar çekirdek paniğine (kernel panic) neden olur. ihl < 5 olan bir IPv4 başlığı tanım gereği hatalıdır (RFC 791: "Internet Header Length, internet başlığının 32 bit sözcük cinsinden uzunluğudur... Doğru bir başlık için minimum değerin 5 olduğuna dikkat edin."). Çekirdek, böyle bir paketi kendi çıktı yoluna dahil etmemelidir. Mevcut "iphlen > length" kontrolünün yanı sıra "iphlen < sizeof(*iph)" durumu da reddedilir. Bu, yerel olarak oluşturulan ve IP yığınına yeniden giren paketlerin, yabancı bir paketin tabi tutulacağı temel mantık testlerinden geçmesi gerektiği ilkesiyle uyumludur. Bu değişiklik uygulandıktan sonra, düzeltme dalını çevreleyen "if (iphlen >= sizeof(*iph))" sarmalayıcısı gereksiz hale gelir; yamayı minimal tutmak ve geriye dönük uyumluluğu (backport) kolaylaştırmak için yerinde bırakılmıştır. Sonraki bir güncelleme bunu kaldırabilir. 86f4c90a1c5c numaralı commit'in ("ipv4, ipv6: ensure raw socket message is big enough to hold an IP header"), mesaj tamponunun bir iphdr içerecek kadar büyük olduğunu garanti ettiği ancak kendi raporladığı iph->ihl değerini kısıtlamadığı unutulmamalıdır. Erişilebilirlik: Hatalı paket kaynağı, CONFIG_USER_NS=y olan bir çekirdekte kullanıcı+net ad alanındaki ayrıcalıksız bir işlem de dahil olmak üzere CAP_NET_RAW yetkisine sahip herhangi bir çağırıcıdır. Yeniden üretilen AH çökmesi ayrıca giden rotada eşleşen bir xfrm AH politikası gerektirir; CAP_NET_ADMIN yetkisi verilen bir konteyner, bu durumu ve politikayı kendi netns'sine yükleyebilir. Loopback, xfrm_output işlemini baypas eder, bu nedenle tetikleyici gerçek bir netdev kullanır. UML + KASAN üzerinde yeniden üretilmiştir: çökme noktasında memcpy_orig ile 0x0 adresinde çekirdek modu hatası oluşmuştur. Aynı durum, standart bir dağıtım çekirdeğinde --cap-add NET_ADMIN parametresiyle çalıştırılan rootless bir Docker konteyneri içinde de tekrarlanmıştır.