CVE-2026-97602

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: inet: frags: kuyrukları boşaltmadan önce geçersiz kılın fqdir_pre_exit(), tamamlanma durumlarını değiştirmeden eksik kuyruklardaki skb'leri boşaltır. high_thresh temizlenmeden önce bir kuyruk bulan bir fragman, daha sonra kuyruk kilidini alabilir ve bayat yeniden birleştirme meta verilerini yeniden kullanabilir. fqdir->dead ayarlandıktan sonra eşzamanlı olarak öldürülen bir kuyruk, eski skb'lerini hala tutarken INET_FRAG_COMPLETE|INET_FRAG_HASH_DEAD durumuna gelebilir; bu kuyruğun tamamlanmış olduğu için atlanması, asenkron fqdir yıkımına kadar bu referansların geride kalmasına neden olur. IPv6 için, bayat meta veriler ip6_frag_reasm()'in yeni bir skb ile eski nhoffset değerini kullanmasına ve sınır dışı belleğe erişmesine yol açabilir. Ortaya çıkan heap bozulması, ayrıcalıklı olmayan ağ ad alanlarının mevcut olduğu durumlarda yerel yetki yükseltme için kullanılabilir. Boşaltılmamış fragmanlar ayrıca conntrack her-net temizleme noktasından sonra da conntrack referanslarını canlı tutabilir. Her eksik kuyruğu öldürün, ardından hala ölen rhashtable'a ait olan her kuyruğu boşaltın. HASH_DEAD bu sahipliği tanımlarken, buna sahip olmayan tamamlanmış kuyruklar zaten başka bir yok etme yolu tarafından sahiplenilmiştir ve onlara dokunulmamalıdır. inet_frag_kill() tarafından kaldırılan bir zamanlayıcı referansının serbest bırakılması, kuyruk kilidi bırakıldıktan sonra inet_frag_putn()'e ertelenir. KASAN raporu: BUG: KASAN: slab-out-of-bounds in ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) Write of size 1 at addr ff110001039c6e00 by task poc/771 Call Trace: ? ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) ipv6_frag_rcv (net/ipv6/reassembly.c:289 (discriminator 2) net/ipv6/reassembly.c:229 (discriminator 2) net/ipv6/reassembly.c:391 (discriminator 2)) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:479 (discriminator 5)) ip6_input_finish (net/ipv6/ip6_input.c:534) ipv6_rcv (include/net/dst.h:480 (discriminator 3) net/ipv6/ip6_input.c:119 (discriminator 3) net/ipv6/ip6_input.c:109 (discriminator 3) include/linux/netfilter.h:325 (discriminator 3) include/linux/netfilter.h:319 (discriminator 3) net/ipv6/ip6_input.c:351 (discriminator 3)) packet_sendmsg (net/packet/af_packet.c:3110 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) The buggy address belongs to the object at ff110001039c6b40 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 0 bytes to the right of allocated 704-byte region [ff110001039c6b40, ff110001039c6e00) BUG: KASAN: slab-out-of-bounds in ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) Read of size 1 at addr ff110001039c6e08 by task poc/771 Call Trace: ? ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:423 (discriminator 1)) ip6_input_finish (net/ipv6/ip6_input.c:534) ipv6_rcv (include/net/dst.h:480 (discriminator 3) net/ipv6/ip6_input.c:119 (discriminator 3) net/ipv6/ip6_input.c:109 (discriminator 3) include/linux/netfilter.h:325 (discriminator 3) include/linux/netfilter.h:319 (discriminator 3) net/ipv6/ip6_input.c:351 (discriminator 3)) packet_sendmsg (net/packet/af_packet.c:3110 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) packet_sendmsg (net/packet/af_packet.c:2959 net/packet/af_packet.c:3053 net/packet/af_packet.c:3142) __x64_sys_sendmmsg (net/socket.c:2883 net/socket.c:2880 net/socket.c:2880) The buggy address belongs to the object at ff110001039c6b40 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 8 bytes to the right of allocated 704-byte region [ff110001039c6b40, ff110001039c6e00)