CVE-2026-98532

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ipv6: ipv6_find_hdr()'nin paket sonunun ötesinde bir ofset döndürmesine izin vermeyin ipv6_find_hdr(), uzantı başlığı zincirini tarayarak her bir başlığı kendi beyan ettiği uzunluk kadar atlar. ipv6_optlen() 2048'e kadar değer döndürür ve bu atlama işlemi hiçbir zaman skb->len ile kontrol edilmez; bu nedenle *offset içinde saklanan ofset, paketin sonunun ötesini işaret edebilir. openvswitch bu ofseti taşıma başlığı olarak ayarlar ve ardından update_ipv6_checksum() fonksiyonu, taşıma toplam kontrol alanı (transport checksum field) üzerinde sınır dışı okuma ve yazma yapar: BUG: KASAN: slab-use-after-free in inet_proto_csum_replace16+0x445/0x470 Read of size 2 at addr ffff88810b754b06 by task ovs_ipv6_oob/629 CPU: 4 UID: 1000 PID: 629 Comm: ovs_ipv6_oob Tainted: G N 7.3.0-rc3+ #348 Call Trace: inet_proto_csum_replace16+0x445/0x470 set_ipv6_addr+0x3dd/0x460 do_execute_actions+0x6a3d/0x7c40 ovs_execute_actions+0xfd/0x480 ovs_packet_cmd_execute+0xc38/0xf20 genl_rcv_msg+0x59e/0x870 netlink_rcv_skb+0x18b/0x450 genl_rcv+0x2d/0x40 netlink_unicast+0x6bc/0xa20 The buggy address belongs to the object at ffff88810b754980 which belongs to the cache skbuff_small_head of size 704 The buggy address is located 390 bytes inside of freed 704-byte region [ffff88810b754980, ffff88810b754c40) Diğer çağıranlar da bu ofseti kullandığından, sınırlama tek bir çağırıcıda değil burada uygulanmıştır. Beyan edilen uzunluğu pakete sığmayan başlıklar reddedilir. ipv6_find_hdr() zaten hatalı bir zincir durumunda -EBADMSG ile hata verdiği için bu işlem yeni bir hata modu eklememektedir.