CVE-2026-98299

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: tcp: tcp_rmem değerinin 4096'nın altına ayarlanmasına izin vermeyin tcp_rcvbuf_grow() ve tcp_rcv_space_adjust() fonksiyonlarında sıfıra bölme hatası nedeniyle sistem çökmesi yaşanabilmektedir: divide error: 0000 [#1] PREEMPT SMP RIP: 0010:tcp_rcvbuf_grow+0x187/0x450 net/ipv4/tcp_input.c:939 ... grow = div_u64(((u64)rcvwin << 1) * (newval - oldval), oldval); Bölme işlemi sırasında bölen olarak oldval = tp->rcvq_space.space kullanılır. tp->rcvq_space.space değeri sıfır olduğunda, bu durum bir sıfıra bölme istisnasına yol açar. tp->rcvq_space.space, tcp_init_buffer_space() içinde şu şekilde başlatılır: tp->rcvq_space.space = min3(tp->rcv_ssthresh, tp->rcv_wnd, (u32)TCP_INIT_CWND * tp->advmss); Eğer tcp_rmem[1] çok küçük değerlere (örneğin 1 gibi) yapılandırılmışsa, sk->sk_rcvbuf 1 olarak başlatılır. Ardından, (sk->sk_rcvbuf * scaling_ratio) >> 8 işlemini hesaplayan tcp_full_space(sk), sonucu 0'a yuvarlar. Bu durum tp->window_clamp = 0, tp->rcv_ssthresh = 0 ve tp->rcvq_space.space = 0 değerlerini atar. Daha sonra veri geldiğinde ve DRS çağrıldığında, tcp_rcvbuf_grow() fonksiyonu oldval == 0 değerine bölme yapar. 2015 yılında, b1cb59cf2efe ("net: sysctl_net_core: check SNDBUF and RCVBUF for min length") commit'i ile net.core.rmem_default ve net.core.rmem_max değerlerinin SOCK_MIN_RCVBUF'un altına ayarlanamayacağı garanti altına alınmıştı. Benzer şekilde, SO_RCVBUF setsockopt işlemi max_t(int, val * 2, SOCK_MIN_RCVBUF) kuralını uygular. Ancak, net.ipv4.tcp_rmem hala .extra1 = SYSCTL_ONE değerine sahipti ve bu da keyfi olarak küçük değerlerin atanmasına izin veriyordu. SOCK_MIN_RCVBUF; sizeof(struct sk_buff) ve önbellek satırı hizalamasına bağlı olduğu için değeri mimarilere ve yapılandırma seçeneklerine göre değişiklik gösterir. Sabit bir 4096 sabiti kullanmak, her yerde güvenli bir şekilde SOCK_MIN_RCVBUF'un üzerinde olan, öngörülebilir, mimariden bağımsız bir alt sınır sağlar ve belgelenmiş 4K varsayılan değeriyle eşleşir. Bu sorun, tcp_rmem.extra1 değeri 4096 olarak ayarlanarak ve dokümantasyon güncellenerek düzeltilmiştir.