CVE-2026-74620

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net/sched: act_gact, act_police: yedek kontrol eylemi için aralık kontrolü yapılması tcf_action_check_ctrlact() birincil kontrol eyleminin aralık kontrolünü yapar: if (!opcode) ret = action > TC_ACT_VALUE_MAX ? -EINVAL : 0; TC_ACT_VALUE_MAX değeri TC_ACT_TRAP olduğu için, bunun üzerindeki çekirdek içi kararlar bu şekilde ayarlanamaz. Ancak act_gact ve act_police bileşenlerinin her biri, kullanıcı alanı tarafından sağlanan ve söz konusu yardımcı fonksiyona asla ulaşmayan ikinci ve bağımsız bir kontrol eylemi taşır - TCA_GACT_PROB.paction ve TCA_POLICE_RESULT. Her ikisi de yalnızca TC_ACT_GOTO_CHAIN değerini reddeder, dolayısıyla diğer tüm değerler aynen saklanır ve eylemden aynen döndürülür. Özellikle kullanıcı alanı, TC_ACT_VALUE_MAX + 1 olan ve kasıtlı olarak UAPI değer aralığının parçası olmayan TC_ACT_CONSUMED değerini saklayabilir. Bu karar, çağıran her tarafa eylemin skb sahipliğini aldığını bildirir, böylece kimse onu serbest bırakmaz: sch_handle_ingress(), sch_handle_egress() ve tcf_qevent_handle() fonksiyonlarının tamamı bu durum için serbest bırakma işlemini kasıtlı olarak atlar. Sonuç olarak, filtre üzerinden geçen paket başına, çekirdek tarafından oluşturulan paketler dahil olmak üzere zincirdeki tüm trafik için sınırsız bir şekilde bir sk_buff ve onun veri tamponu sızıntısı oluşur. Her iki durum da kolayca deterministik hale getirilebilir. act_gact, tcfg_pval değerini >= 1 olacak şekilde sınırlar, böylece pval = 1 olduğunda gact_determ() her paket için yedeği döndürür. act_police zorunlu bir hıza sahip değildir, bu nedenle rate = 0 olması tcfp_mtu = ~0 değerini bırakır ve tcf_police_mtu_check() her zaman başarılı olur. TC_ACT_CONSUMED, her iki goto-chain koruması yazıldıktan sonra 720f22fed81b ("net: sched: refactor reinsert action") commit'i ile eklenmiştir: commit 9469f375ab09 ("net/sched: act_gact: disallow 'goto chain' on fallback control action") ve commit c08f5ed5d625 ("net/sched: act_police: disallow 'goto chain' on fallback control action"). Yeni karar ortaya çıktığında hiçbir koruma genişletilmemiştir. Mevcut aralık testi tcf_action_check_ctrlact() içerisinden tcf_action_valid() olarak ayrıştırılmış ve her iki yedekleme işlemine uygulanmıştır. Yardımcı fonksiyon tcf_action_check_ctrlact()'yi doğrudan çağıramaz çünkü bu işlem aynı zamanda bir goto_chain tahsis eder ki bu tam olarak bu iki konumun yapmaması gereken şeydir. v7.2-rc6 üzerinde yeniden üretilmiştir: kmemleak, paket başına bir adet sızdırılan 232 baytlık skbuff_head_cache nesnesi ve buna ait 704 baytlık veri tamponu raporlamaktadır. Bu yama ile her iki yapılandırma da -EINVAL ile reddedilmekte ve kmemleak herhangi bir sızıntı raporlamamaktadır.