CVE-2026-89968

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: nvmet-tcp: istenmeyen H2CData PDU'larını reddet nvmet_tcp_handle_h2c_data_pdu() fonksiyonu, yalnızca TTAG değerinin geçerli bir aralıkta komut dizini olduğunu ve komutun veri tamponlarının eşlendiğini kontrol ettikten sonra bir H2CData PDU'sunu kabul etmektedir. Hedefin, ilgili komut için bir R2T göndererek bu veriyi gerçekten talep edip etmediğini hiçbir zaman kontrol etmemektedir. Uzak bir ana bilgisayar bunu kötüye kullanabilir. R2T yolunu kullanan bir yazma komutu gönderir ve hedef R2T iletmeden önce, o komutun etiketi için bir H2CData PDU'su gönderir. Veriler komutu erken tamamlar ve ardından komut senkron olarak başarısız olduğunda (örneğin, nvmet_check_transfer_len() tarafından yakalanan bir uzunluk uyumsuzluğu), ikinci kez tamamlanır. Her tamamlama nvmet_tcp_queue_response() fonksiyonunu çağırır, böylece aynı komut hala bağlıyken queue->resp_list listesine iki kez eklenir; ikinci llist_add() işlemi düğümün kendisine işaret etmesine neden olur (lentry->next == lentry). Ardından nvmet_tcp_process_resp_list() bu kendi kendine referans veren düğümü gezer ve komutu resp_send_list listesine iki kez ekler. CONFIG_DEBUG_LIST etkinleştirildiğinde bu durum "list_add double add" kontrolünü tetikler (kernel BUG); etkin değilse döngü asla sona ermez ve nvmet_tcp iş kuyruğu kilitlenir (soft-lockup). Bu durum uzaktan tetiklenebilir ve allow_any_host alt sisteminde herhangi bir kimlik doğrulama gerektirmez. Bir komut için R2T iletilip iletilmediği takip edilir ve bundan önce gelen H2CData PDU'ları reddedilir. Bayrak, komut yeniden kullanıldığında temizlenir (nvmet_tcp_get_cmd() cmd->flags değerini sıfırlar) ve tek bir talep edilen aktarımın birden fazla H2CData PDU'su boyunca ayarlı kalır.