CVE-2026-74269

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: bnxt: XDP head-grow sırasında oluşan head underflow hatası düzeltildi xdp.py testi olan test_xdp_native_adjst_head_grow_data, bir bnxt makinesinde çalıştırıldığında (ve ayrıca NIPA'da) çökmektedir. Hatanın, skb head yapısını oluşturan bnxt_rx_multi_page_skb fonksiyonundaki bir underflow durumundan kaynaklandığı görülmektedir: napi_build_skb(data_ptr - bp->rx_offset, rxr->rx_page_size); Bu ifadeyle ilgili sorun, sayfa modunda rx_offset değerinin şu şekilde olmasıdır: bp->rx_offset = NET_IP_ALIGN + XDP_PACKET_HEADROOM; Bu değer (en azından x86_64 üzerinde) 258 olarak hesaplanmaktadır. test_xdp_native_adjst_head_grow_data testi, head kısmının -256 kadar ayarlandığı bir durumu test eder. Bu test çalıştığında, data_ptr değeri frag_start + 2 konumuna kaydırılır (burada frag_start = page_address(page) + offset). Ardından bnxt_rx_multi_page_skb çağrılır ve napi_build_skb ifadesi 258 çıkararak frag_start öncesindeki bir adrese ulaşır. Offset < 256 olduğunda (örneğin fragment offset 0'dan başladığında), bu adres ya önceki fragment ya da önceki fiziksel sayfa olabilir. skb serbest bırakıldığında, page pool fragment referansı ya yanlış sayfadan ya da doğru sayfanın yanlış fragment'ından düşürülür. Her iki durumda da bozulmuş referans sayısı, sayfanın hala kullanımdayken vaktinden önce geri dönüştürülmesine yol açabilir. Hatalı şekilde geri dönüştürüldüğünde, sayfa tekrar tahsis edilebilir ve sürücü kapatma işlemi sırasında bu durum double free ile sonuçlanır. Düzeltilen commit, yerel sayfa boyutunun >= 64k olduğu durumu yönetmek için bu kodu güncellemiş ancak istemeden head grow durumunu bozmuştur. Bunu düzeltmek için, struct bnxt_sw_rx_agg_bd içindeki mevcut offset alanını yansıtacak şekilde struct bnxt_sw_rx_bd yapısına bir offset alanı eklenmiştir. Bu alan tahsis sırasında doldurulur ve yeniden kullanımda korunur. bnxt_rx_multi_page_skb içerisinde, fragment başlangıcını hesaplamak için yeni eklenen offset alanı kullanılır ve bu değer napi_build_skb fonksiyonuna aktarılır. Düzenleme skb_reserve ile yapılır. İki durum mevcuttur: ayarlama yapılmayan durum ve ayarlama yapılan durum. Her iki durumda da skb, yerel sayfa boyutunun >= 64K olduğu durumu hesaba katmak için page_address(page) + offset konumunda oluşturulur ve skb_reserve, data_ptr - (page_address(page) + offset) şeklinde çağrılır. Bu fark, data_ptr hareket ettirilmediğinde bp->rx_offset değerine veya XDP head kısmını ayarladığında bp->rx_offset + xdp_adjust değerine eşittir. Hata veren testin bu commit uygulandıktan sonra tekrar çalıştırılması, testin başarıyla tamamlanmasını sağlamaktadır. Diğer rx_skb_func uygulamalarında bu sorun bulunmamaktadır.