CVE-2026-64550

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net: qualcomm: rmnet: giriş ayrıştırmasından önce MAP çerçeve uzunluğunu doğrula Giriş birleştirmesi devre dışı bırakıldığında, rmnet_map_ingress_handler() fonksiyonu skb'yi doğrudan __rmnet_map_ingress_handler()'a iletir ve böylece rmnet_map_deaggregate()'in birleştirilmiş yolda gerçekleştirdiği uzunluk doğrulamasını atlar. Ayrıştırıcı daha sonra skb->len değerini kontrol etmeden, hat üzerindeki pkt_len değerine dayanarak MAP başlığını ve csum başlık/son ekini çözümler; bu durum kısa bir çerçevenin sınırların dışında okunmasına neden olur: BUG: KASAN: slab-out-of-bounds in rmnet_map_checksum_downlink_packet Read of size 1 at addr ffff88801118ed00 by task exploit/147 Call Trace: ... rmnet_map_checksum_downlink_packet (drivers/net/ethernet/qualcomm/rmnet/rmnet_map_data.c:413) __rmnet_map_ingress_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:96) rmnet_rx_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:129) __netif_receive_skb_core.constprop.0 (net/core/dev.c:6089) netif_receive_skb (net/core/dev.c:6460) tun_get_user (drivers/net/tun.c:1955) tun_chr_write_iter (drivers/net/tun.c:2001) vfs_write (fs/read_write.c:688) ksys_write (fs/read_write.c:740) do_syscall_64 (arch/x86/entry/syscall_64.c:94) ... Söz konusu doğrulama işlemi rmnet_map_deaggregate() içerisinden çıkarılarak rmnet_map_validate_packet_len() fonksiyonuna aktarılmış ve birleştirme yapılmayan yol üzerinde de çalıştırılmıştır. Bu yol başlıktan daha kısa bir çerçeve alabileceği için öncelikle MAP başlığının sınır kontrolü yapılır.