CVE-2026-74598

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: ipv6: Route Information seçeneği uzunluk doğrulaması düzeltildi rt6_route_rcv(), Route Information seçeneğinin (RFC 4191) uzunluğunu önek uzunluğuna göre doğrular, ancak her iki kontrol de birer birim kaymıştır. rinfo->length, ND seçeneği uzunluğunu 8 oktetlik birimler halinde ifade eder ve 8 baytlık seçenek başlığını *içerir*, bu nedenle N bayt önek taşıyan bir seçeneğin uzunluğu length == 1 + N/8 olur. RFC 4191 bölüm 2.3, Prefix Length 64'ten büyük olduğunda uzunluğun 3, 0'dan büyük olduğunda ise 2 veya 3 olmasını gerektirir. Kod ise sırasıyla length >= 2 ve length >= 1 değerlerini kabul eder. ipv6_addr_prefix() daha sonra rinfo->prefix içinden prefix_len/8 bayt kopyalar, bu nedenle (prefix_len=128, length=2) veya (prefix_len=64, length=1) içeren bir Router Advertisement, çekirdeğin seçeneğin sonunun ötesinde 8 bayta kadar okumasına neden olur. Bu baytlar kurulan rotanın önekinde yer alır ve böylece kullanıcı alanından görülebilir hale gelir: # Route Information seçeneği (prefix_len=128, length=2) içeren RA # ardından source link-layer address seçeneği, 01 01 de ad be ef ca fe $ ip -6 route show 2001:db8:dead:beef:101:dead:beef:cafe via fe80::1234 dev veth0 proto ra ^^^^^^^^^^^^^^^^^^ sonraki seçenek, sınırların dışından okundu Route Information seçeneği paketteki son seçenek olduğunda, bu sekiz bayt bunun yerine skb kuyruk alanından gelir. RFC 4191'in izin vermediği seçenek uzunluklarını reddedin.