CVE-2026-98802

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: seg6: SRH ve IPv6 DA değiştirilmeden önce paket verilerinin yazılabilir olduğundan emin olun advance_nextseg(), paket verilerinin yazılabilir olduğunu doğrulamadan SRH Segments Left alanı ve IPv6 hedef adresini değiştirmektedir. seg6_next_csid_advance_arg() fonksiyonu da hedef adresteki NEXT-C-SID argümanını ilerletirken aynı soruna sahiptir. Örneğin, giriş cihazında alma işlemi yapan bir AF_PACKET soketi tarafından skb klonlanmış olabilir. Bu durumda advance_nextseg() ve seg6_next_csid_advance_arg(), klonla paylaşılan paket verilerine yazma işlemi gerçekleştirir. Söz konusu soketten yapılan bir okuma işlemi, alınan orijinal paket yerine değiştirilmiş paketi döndürebilir. Aşağıdaki basitleştirilmiş yol, bunu advance_nextseg() için göstermektedir: __netif_receive_skb_one_core __netif_receive_skb_core deliver_skb [orig: users=2, cloned=0] packet_rcv skb_clone AF_PACKET soketine klon kuyruğa alındı consume_skb(orig) [orig: users=1, cloned=1] ipv6_rcv ip6_rcv_core skb_share_check: no-op [orig: users=1] [...] input_action_end_core advance_nextseg klonla paylaşılan verilere yazar Paket verilerini değiştirmeden önce advance_nextseg() ve seg6_next_csid_advance_arg() içerisinde skb_ensure_writable() çağrısı eklenmiştir. skb_ensure_writable(), skb->head kısmını yeniden tahsis edebilir; bu durum, çağrıdan önce alınan paket verisi işaretçilerini geçersiz kılar. advance_nextseg() artık geçerli bir SRH işaretçisi veya skb_ensure_writable() başarısız olursa NULL döndürmektedir. seg6_next_csid_advance_arg(), hedef adres işaretçisini skb_ensure_writable() işleminden sonra skb üzerinden almaktadır. Hata durumunda, çağıran fonksiyonlar paketi SKB_DROP_REASON_NOMEM ile düşürmektedir.