CVE-2026-74612

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: veth: XDP frag ayarı sonrası skb uzunluk hesaplaması düzeltildi veth, doğrusal olmayan skb parçalarını bir xdp_buff aracılığıyla sunar. Bir XDP programı parça alanını ayarlarsa, veth_xdp_rcv_skb() fonksiyonu xdp_frags_size değerini skb->data_len kısmına geri kopyalar ancak skb->len kısmında eski parça katkısının kalmasına neden olur. Bir parça küçültme işleminden sonra bu durum, skb_headlen()'in gerçek doğrusal alandan daha büyük olmasına yol açar. Yeniden üretilen UDP alma yolunda, __skb_datagram_iter() gerçek doğrusal kuyruğun 1024 bayt ötesinden başlayarak struct skb_shared_info üzerinden kullanıcı alanına veri kopyalamıştır. Kopyalanan baytlar etkilenen skb'nin nr_frags, xdp_frags_size ve skb_shinfo(skb)->frags[0] içerisindeki bir kernel işaretçisini içermekteydi. Gerçek paket verileri aynı miktarda kaymış ve sonunda kesilmiştir. Yeni data_len değerini yerleştirmeden önce eski data_len çıkarılarak ve sonrasında yeni data_len eklenerek skb->len ve skb->data_len senkronize tutulmuştur. Ek olarak, bpf_xdp_pull_data() parçalar mevcutken data_end değerini ilerletebilir. Bu durumda skb hala doğrusal değildir, dolayısıyla eski __skb_put(skb, off) çağrısı SKB_LINEAR_ASSERT() hatasını tetikler. Bunun yerine, bpf_prog_run_generic_xdp() işlemini takiben skb_set_tail_pointer() kullanılmış ve skb->len açıkça güncellenmiştir. __skb_put()'ın aksine, skb_set_tail_pointer() doğrusal bir skb gerektirmez. MTU değeri 64000 olan bir veth çiftinde 60000 baytlık bir UDP datagramı, parça alanından 1024 bayt kısaltılmıştır. Düzeltmeden önce yapılan tüm 10 deneme bozuk yükler (payload) üretmiştir. Düzeltmeden sonra ise tüm 10 deneme beklenen yükle tam olarak eşleşmiştir. Zorlanmış bir tailroom yeniden üretim testi ayrıca parçalar hala mevcutken bpf_xdp_pull_data() fonksiyonunu çalıştırır; eski kod SKB_LINEAR_ASSERT() hatasını tetiklerken, bu düzeltme 10/10 denemeyi başarıyla tamamlamaktadır.