CVE-2026-90058

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: net/sched: qdisc soft lockup'ı önlemek için qdisc_pkt_len sınırlandırıldı qdisc_get_stab(), kullanıcı tarafından sağlanan bir boyut tablosunu kabul eder ve __qdisc_calculate_pkt_len(); ek yük, boyut tablosu verisi (u16) ve size_log (STAB_SIZE_LOG_MAX değerine kadar) aracılığıyla qdisc_pkt_len()'i artırır. Bu nedenle, özel olarak hazırlanmış bir stab, sıradan bir skb için qdisc_pkt_len()'i yaklaşık 1 GiB olarak ayarlayabilir. DRR ve ETS gibi akış başına açık hesap çizelgeleyicileri, döngü yinelemesi başına bir kuantum yeniler; çok küçük bir kuantum (1) ile qdisc kilidi altında milyarlarca kez dönerler ve [email protected] tarafından örneklendiği üzere bir soft lockup / RCU stall oluşur. Boyut tablosu artırımının açık hesap çizelgeleyicilerini sınırsız bir döngüye sokmasını önlemek için nihai qdisc_pkt_len() değeri QDISC_PKT_LEN_MAX ile sınırlandırılmıştır. Meşru bir boyut tablosu (örneğin, paket düşürme yoluyla işlenen qfq'nun 999999999 ek yükü) hala kabul edilmektedir. Herhangi bir meşru tekil-skb hat uzunluğunun oldukça üzerinde olan QDISC_PKT_LEN_MAX (1 << 20) = 1 MiB sınırı getirilmiştir: mevcut en büyük skb->len değeri GSO_MAX_SIZE (524280)'dir ve ATM tarzı bir boyut tablosu (53/48 hücre vergisi) bunu yaklaşık 578 KB'a çıkarır; her iki değer de rahatlıkla 1 MiB'ın altındadır. Aynı zamanda 1 MiB, kuantum=1 olduğunda açık hesap doldurma döngüsünü paket başına yaklaşık 1 milyon yineleme ile sınırlandırır; bu işlem birkaç milisaniyede tamamlanır ve kanıtlanmış softlockup eşiğinin (~10^9 yineleme) oldukça altındadır. Hatanın yeniden oluşturulma koşulları: - CONFIG_NET_SCHED=y, CONFIG_NET_SCH_DRR=y (veya CONFIG_NET_SCH_ETS=y). - qdisc_pkt_len'i yaklaşık 1 GiB'a çıkaran özel bir TCA_STAB ile bir DRR (veya ETS) kök qdisc ekleyin (örneğin size_log=15, data=[32768]). - 1 gibi çok küçük bir kuantuma sahip bir sınıf ekleyin ve bir adet küçük paket gönderin; açık hesap döngüsü qdisc kilidi altında milyarlarca kez döner ve softlockup dedektörünü tetikler (kernel.softlockup_panic=1 ise panic oluşur). - Root kullanıcısı olarak veya yeni bir user+net ad alanında (unshare -Urn) yerel CAP_NET_ADMIN yetkisine sahip ayrıcalıksız bir kullanıcı üzerinden erişilebilir.