CVE-2026-98549

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: tcp: rtx kuyruğundaki sınır boyunca skb'lerin birleştirilmesinin önlenmesi tcp_write_collapse_fence(), cihaz şifrelemesine geçişten sonra kuyruğa alınan skb'lerin daha önceki skb'lerle birleştirilmesini önlemek için tcp_write_queue_tail(sk) üzerinde TCP_SKB_CB(skb)->eor = 1 değerini ayarlar. Geçiş gerçekleştiğinde tüm önceki veriler zaten iletilmişse (sk->sk_write_queue boşsa), çit işlemi etkisiz kalır. Henüz onaylanmamış olan önceki skb'ler, eor 0 değeriyle sk->tcp_rtx_queue içinde bekler. Sonraki bir yeniden iletim veya SACK kaydırması sırasında, tcp_retrans_try_collapse() veya tcp_shift_skb_data() fonksiyonları, geçişten sonra kuyruğa eklenen bir skb'yi, geçişten önce kuyruğa eklenen bir skb ile birleştirebilir. Çitin her iki kullanıcısı da bundan etkilenmektedir: - psp: Cihazlar yalnızca skb->decrypted değeri ayarlanmış olan skb'leri şifreler. Birleştirilmiş skb, önceki skb'den gelen decrypted = 0 değerini korur; bu nedenle psp_sock_assoc_set_tx() sonrası gönderilen birleştirilmiş veriler açık metin olarak yeniden iletilir. - tls device offload: Birleştirilmiş skb, tls_set_device_offload() içinde ayarlanan başlangıç işaretleyicisini kapsar. Yazılım geri dönüşü (fill_sg_in() -EINVAL döndürür) ve mlx5, nfp ve funeth sürücüleri böyle bir skb'yi işleyemez ve paketi düşürür. Her yeniden iletim aynı skb'yi yeniden oluşturduğundan bağlantı duraksar. Derinlemesine savunma amacıyla bu durum iki noktada düzeltilmiştir: 1. tcp_write_collapse_fence() içerisinde, tcp_write_queue_tail(sk) NULL olduğunda tcp_rtx_queue_tail(sk) yöntemine geri dönülür. 2. tcp_skb_can_collapse_rx() fonksiyonunun alma işleminde yaptığı gibi, tcp_skb_can_collapse() içerisinde !skb_cmp_decrypted(to, from) kontrolü yapılır. Her iki birleştirme yolunun da çağırdığı skb_shift() fonksiyonu, bu durum için halihazırda bir DEBUG_NET_WARN_ON_ONCE() uyarısına sahiptir.