CVE-2026-74434

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: rxrpc: Gözlenen (peeked) bir OOB mesajını bekleyen kuyruğa taşımayın rxrpc_recvmsg_oob(), alınan bir oob mesajını recvmsg_oobq üzerinden alır ve eğer bir yanıt gerekiyorsa bunu pending_oobq ağacına taşır. Ancak, yalnızca recvmsg_oobq üzerindeki bağlantı kesme işlemi MSG_PEEK ile korunmaktadır; pending_oobq üzerine taşıma işlemi ise her zaman çalışır. Sonuç olarak, bir challenge işleminin MSG_PEEK ile okunması, skb'yi recvmsg_oobq üzerinde bırakırken aynı zamanda onu pending_oobq'ya da ekler. struct sk_buff'ın rbnode yapısı, next ve prev işaretçileriyle depolamayı paylaştığından, rb_insert_color() liste bağlantısını üzerine yazar ve tek bir referansa sahip olan skb, her iki kuyruktan da aynı anda erişilebilir hale gelir. Soket kapatıldığında her iki kuyruk sırayla boşaltılır. recvmsg_oobq boşaltılırken, __skb_unlink() fonksiyonu rbnode tarafından üzerine yazılmış olan next ve prev işaretçilerini takip eder ve hatalı bir adrese yazma işlemi gerçekleştirir. Ayrıca, skb tek bir referans tutmasına rağmen her iki kuyruktan da serbest bırakıldığı için hem skb hem de tuttuğu bağlantı referansı iki kez serbest bırakılır. Bu durum bellek bozulmasına ve bağlantı referans sayacı alt taşmasının neden olduğu bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. MSG_PEEK mesajı kuyruktan tüketmez, bu nedenle mesajı yalnızca recvmsg_oobq üzerinden ayırın ve ardından mesaj gerçekten tüketildiğinde onu pending_oobq üzerine taşıyın veya serbest bırakın.