CVE-2026-68127

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: ila: sağlama toplamı ayarlamasında pskb_may_pull sonrasında IPv6 başlığını yeniden yükle ila_csum_adjust_transport(), pskb_may_pull() çağrısından önce ip6h = ipv6_hdr(skb) değerini önbelleğe alır. Taşıma başlığı bir sayfa parçasında bulunan doğrusal olmayan bir skb üzerinde pskb_may_pull(), __pskb_pull_tail() / pskb_expand_head() çağrısında bulunabilir ve eski skb başlığını serbest bırakarak ip6h işaretçisini sarkan bir işaretçi haline getirebilir; ardından gelen get_csum_diff(ip6h, p) serbest bırakılmış belleği okur. ila_update_ipv6_locator(), csum-adjust çağrısından sonra ip6h (ve ondan türetilen iaddr) değerini yeniden kullanır ve ayrıca yeni konumlandırıcıyı bu işaretçi üzerinden yazar. Etki: yapılandırılmış bir ILA csum-adjust-transport rotası veya alım tarafı eşlemesi üzerinden yönlendirilen uzak bir IPv6 paketi, ila_update_ipv6_locator() içinde bir slab-use-after-free tetikler (KASAN). Rotanın veya eşlemenin yapılandırılması CAP_NET_ADMIN gerektirir, ancak bu yapılandırma mevcut olduğunda tetikleyici paketler kimlik doğrulaması gerektirmez. ila_csum_adjust_transport() içinde csum-diff okumasından önce her pskb_may_pull() çağrısından sonra ip6h değerini yeniden yükle. ila_update_ipv6_locator() içinde skb'yi yalnızca ILA_CSUM_ADJUST_TRANSPORT durumu çeker, bu nedenle hedef adres yazımından önce yalnızca bu durumda ip6h ve iaddr değerlerini yeniden yükle; neutral-map modları hiçbir zaman çekme işlemi yapmaz ve önbelleğe alınmış işaretçilerini korur.