CVE-2026-97612

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: net: mpls: son etiket çıkarıldığında inner_protocol temizle skb_mpls_push(), !skb->inner_protocol koşuluna bağlı olarak kapsülleme öncesi ağ başlığını bir kez kaydeder. skb_mpls_pop() bu kaydı hiçbir zaman temizlemez, bu nedenle kayıt tanımladığı kapsüllemeden daha uzun süre kalır. Ardından Open vSwitch, inner_network_header değerinin hala eski ve daha derin ofseti işaret ettiği bir pakete yeniden MPLS ekleyebilir: bir etiket ekle, tüm etiketleri çıkar, yeniden dolaşıma sok (ovs_flow_key_update() key->eth.type değerini yeniden türetir ve network_header'ı sıfırlar ancak inner_* değerlerini olduğu gibi bırakır), ardından tekrar ekle. ovs_fragment() bu kayda güvenir: skb->network_header = skb->inner_network_header; bu nedenle skb_network_offset() negatif olur. Sınır kontrolü imzalıdır: if (skb_network_offset(skb) > MAX_L2_LEN) negatif bir ofset bu kontrolü geçer ve prepare_frag() değeri genişletir: unsigned int hlen = skb_network_offset(skb); memcpy(&data->l2_data, skb->data, hlen); bu durum, CPU başına 30 baytlık bir tampondan yaklaşık 4 GiB'lık bir memcpy işlemine yol açar. v7.3-rc1 üzerinde yeniden üretilmiştir. RDX kırpılmış uzunluktur, (unsigned int)(-8): BUG: unable to handle page fault for address: ffffe8ffffc16000 #PF: supervisor write access in kernel mode Oops: 0002 [#1] SMP KASAN NOPTI RIP: 0010:memcpy+0x8/0x20 RDX: 00000000fffffff8 RSI: ffff888105d732db RDI: ffffe8ffffc16000 prepare_frag+0x3df/0x4e0 ovs_fragment+0x589/0x7e0 do_output+0x4ce/0x5e0 do_execute_actions+0x55d2/0x7b30 ovs_execute_actions+0xea/0x450 Kök neden yapısı, 975b5b067f52 ("ipv6: sr: restore network header before routing and forwarding") commit'i ile aynıdır: güncelliğini yitirmiş bir ağ başlığı ofsetinin, onu genişleten bir tüketiciye ulaşması. Burada sorun MPLS push/pop yolunda kaynaklanmaktadır. Paket artık MPLS olmadığında inner_protocol temizlenir, böylece sonraki bir push işlemi mevcut başlığı yeniden kaydeder. net/sched/act_mpls.c diğer tek skb_mpls_pop() çağırıcısıdır ve aynı düzeltmeyi alır; sch_frag.c, OVS'nin yaptığı şekilde parçalama sırasında inner_protocol değerini kaydeder ve geri yükler.