CVE-2026-68136

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net: gro: flush olarak işaretlenmiş skb'lerin çift toplanmasının düzeltilmesi 0ab03f353d36 numaralı commit ("net-gro: Fix GRO flush when receiving a GSO packet."), skb_gro_receive() fonksiyonuna bir flush kontrolü eklemiştir ancak skb_gro_receive_list() aynı doğrulamadan yoksundur. Sonuç olarak, NAPI_GRO_CB(skb)->flush ile işaretlenmiş paketler yeniden toplanmaya devam edebilir. Bu durum, mevcut frag_list içeren ve halihazırda GRO işlemi uygulanmış paketlerin yeni bir GRO oturumunda yeniden toplanmasına izin vererek frag_list zincir yapısını bozar. skb_segment() bu hatalı paketleri açmaya çalıştığında geçersiz bir durumla karşılaşır ve kernel panic tetikler. Senaryo (Tethering/Cihaz yönlendirme): 1. Sürücü: frag_list ile LRO üzerinden toplanmış paket P1 oluşturur. 2. Cihaz A: Toplanmış fraglist paketi ve ayarlanmış flush bayrağını alır. 3. Cihaz A: Yeniden GRO'ya girer, skb_gro_receive_list() çağrılır. 4. Eksik flush kontrolü, flush bayrağına rağmen yeniden toplamaya izin verir. 5. Frag_list zinciri bozulur (döngüler veya asılı referanslar oluşur). 6. Cihaz B: TX yolu skb_segment()'ı çağırır, bozuk frag_list nedeniyle çöker. skb_segment() içerisindeki kök neden: ~4891. satırdaki kontrol: if (hsize <= 0 && i >= nfrags && skb_headlen(list_skb) && (skb_headlen(list_skb) == len || sg)) { Çift toplama nedeniyle frag_list bozulduğunda ve list_skb, skb->next'ten gelen bir NULL işaretçi olduğunda, skb_headlen(list_skb) ifadesi NULL/bozuk işaretçileri çözümlemeye çalışır. Çağrı İzleme (Call Trace): skb_headlen(NULL skb) skb_segment tcp_gso_segment tcp4_gso_segment inet_gso_segment skb_mac_gso_segment __skb_gso_segment skb_gso_segment validate_xmit_skb validate_xmit_skb_list sch_direct_xmit qdisc_restart __qdisc_run qdisc_run net_tx_action Çözüm: skb_gro_receive() fonksiyonunun savunmacı programlama modeline uygun olarak, skb_gro_receive_list() içerisindeki erken dönüş kontrolüne NAPI_GRO_CB(skb)->flush doğrulaması eklenmiştir.