CVE-2026-89565

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: ipip: metadata_dst tahsisi başarısız olduğunda collect_md modundaki skb sızıntısı düzeltildi collect_md modunda, ip_tun_rx_dst() fonksiyonu metadata_dst tahsis edemediğinde, ipip_tunnel_rcv() fonksiyonu skb'yi serbest bırakmadan 0 döndürür. ipip_rcv() ve mplsip_rcv() fonksiyonları xfrm_tunnel işleyicileri olarak kaydedildiğinden, tunnel4_rcv() ve tunnelmpls4_rcv() sıfır dönüş değerini "paket tüketildi" şeklinde okur ve paketi serbest bırakmazlar. Bu durum skb sızıntısına yol açar. Diğer tüm tünel sürücüleri bu noktada paketi imha eder: ip6_tunnel.c kendi drop etiketine atlar; ip6_gre.c ve ip_gre.c ise gre_rcv()'nin skb'yi serbest bırakmasını sağlayan PACKET_REJECT değerini döndürür. Yalnızca ipip 0 döndürmektedir. Bunun yerine mevcut drop etiketine atlama işlemi gerçekleştirilmiştir. Bu işlem skb'yi serbest bırakır ve yine de 0 döndürür; böylece paket tüketilmeye devam ettiği şeklinde raporlanır ki burada istenen budur: dış başlık zaten çıkarılmıştır ve ne kalan işleyicilerin ne de bir ICMP ulaşılamaz mesajının buna ihtiyacı vardır. Bu durumun tetiklenmesi için collect_md modunda bir ipip veya mplsip tüneli ile atomik bir tahsis hatası gerekmektedir, bu nedenle fark edilmemiştir.