CVE-2026-98372

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: xfrm: iptfs: iptfs_skb_reset_frag_walk() fonksiyonundaki yığın OOB okuması düzeltildi iptfs_skb_reset_frag_walk(), sınırsız bir döngü ile @offset içeren parçaya ilerler: while (offset >= walk->past + walk->frags[walk->fragi].len) walk->past += walk->frags[walk->fragi++].len; walk->fragi artırılır ve fragi değeri walk->nr_frags ile kontrol edilmeden walk->frags[walk->fragi] referans alınır. İstenen offset, walk parçalarının kapsadığı toplam uzunlukta veya ötesinde olduğunda, fragi değeri nr_frags değerini aşarak yığındaki sabit boyutlu frags[MAX_SKB_FRAGS + 1] dizisinin sonuna ulaşır ve sınır dışı (out-of-bounds) yığın belleğini okur. İki çağırıcı farklı şekilde davranır: iptfs_skb_add_frags() zaten şu kontrolle buna karşı koruma sağlar: if (!walk->nr_frags || offset >= walk->total + walk->initial_offset) return len; Ancak iptfs_skb_can_add_frags() fonksiyonunda böyle bir koruma yoktur ve iptfs_skb_reset_frag_walk() fonksiyonunu koşulsuz olarak çağırır, bu nedenle sınır dışı yürütmeyi gerçekleştirir. Fonksiyonun kendi "fragi < walk->nr_frags" sınır kontrolü ise ancak daha sonra çalışır ve okumayı önlemek için çok geç kalmış olur. Bu durum alma yolu üzerinden erişilebilirdir: Bir IPTFS SA'ya iletilen özel hazırlanmış bir IP-TFS (AGGFRAG) yükü, parçaların toplamının ötesindeki bir offset ile iptfs_reassem_cont() -> iptfs_skb_can_add_frags() sürecini tetikler, örneğin: BUG: KASAN: stack-out-of-bounds in iptfs_skb_reset_frag_walk+0x235/0x250 Read of size 4 at addr ffff888008ad7210 by task repro/345 iptfs_skb_reset_frag_walk+0x235/0x250 net/xfrm/xfrm_iptfs.c:392 iptfs_skb_can_add_frags+0x155/0x310 net/xfrm/xfrm_iptfs.c:420 iptfs_reassem_cont+0xcf8/0x1140 net/xfrm/xfrm_iptfs.c:902 iptfs_input_ordered+0x552/0x670 net/xfrm/xfrm_iptfs.c:1280 iptfs_input+0x3d6/0xde0 net/xfrm/xfrm_iptfs.c:1741 xfrm_input+0x282f/0x6140 net/xfrm/xfrm_input.c:700 xfrm4_esp_rcv+0x93/0x120 net/ipv4/xfrm4_protocol.c:104 ip_rcv+0x278/0x2d0 net/ipv4/ip_input.c:612 Yürütmenin hiçbir zaman sınır dışı bir offset ile başlatılmaması için iptfs_skb_can_add_frags() fonksiyonuna, iptfs_skb_add_frags() fonksiyonunda halihazırda bulunan aynı ön koruma eklenmiştir. Bu koruma tetiklendiğinde, çağırıcı güvenli olan mevcut lineerleştirme ve kopyalama yoluna geri döner.