CVE-2026-80905

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: net: tap: VLAN etiketli çerçeve gönderilirken hatalı transport_header kullanımı düzeltildi tap_get_user_xdp() fonksiyonunda, VLAN etiketli bir çerçeve (örneğin ETH_P_8021Q) işlenirken, network_header'ı VLAN etiketini geçip iç protokol başlığına ilerletmek için önce skb_set_network_header() çağrılır. Ardından, skb->protocol hala ETH_P_8021Q olarak ayarlanmışken ve nhoff (skb_network_offset()'den türetilen) zaten VLAN etiketinin ötesindeki iç protokol başlığını işaret ederken skb_probe_transport_header() çağrılır. __skb_flow_dissect() içerisinde, proto ETH_P_8021Q olarak başlatılır ve nhoff VLAN etiketinin ötesini işaret eder. Ayrıştırıcı ETH_P_8021Q durumuna geldiğinde, mevcut nhoff konumundaki bir struct vlan_hdr yapısını __skb_header_pointer() aracılığıyla okur; ancak bu ofset iç protokol başlığını (örneğin bir IP başlığını) içerir. Baytlar yanlışlıkla bir VLAN başlığı olarak yorumlanır ve hiçbir bilinen protokolle eşleşmeyen hatalı bir kapsüllenmiş EtherType üretilir. Ayrıştırıcı false döndürdüğü için skb_probe_transport_header() hiçbir zaman skb_set_transport_header() fonksiyonunu çağırmaz ve transport_header başlangıçtaki tanımlanmamış sentinel değerinde (~0U) kalır. skb_set_network_header() çağrısı skb_probe_transport_header() sonrasına taşınmıştır. skb_probe_transport_header() çağrıldığı sırada network_header hala VLAN başlığını (ofset ETH_HLEN) işaret etmektedir; böylece nhoff doğru olur ve akış ayrıştırıcısı VLAN başlığını çözümleyebilir, iç EtherType'ı çıkarabilir ve nhoff'u iç protokol başlığına ilerleterek transport_header'ın doğru şekilde ayarlanmasını sağlayabilir.