CVE-2026-98827

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: wifi: ath9k_htc: TX agregasyonu MAX_TX_BUF_SIZE ile sınırlandırıldı __hif_usb_tx(), MAX_TX_BUF_SIZE (32768) baytlık tek bir tx_buf içerisine MAX_TX_AGGR_NUM (20) adede kadar çerçeveyi kuyruktan çıkarır; bu işlem toplu gönderimi kayıt sayısı ile sınırlar ancak kümülatif bayt uzunluğu ile asla sınırlamaz. Büyük çerçevelerle (MTU 2304), her biri 2292 bayt olan 20 agrege çerçeve ayrılan alanı aşar (20 * 2296 = 45920 bayt), bu nedenle döngüdeki memcpy(), usb_submit_urb() çağrısından önce tx_buf->buf alanının ötesine 13152 bayta kadar veri yazar. Kuyruk başı kontrol edilir ve MAX_TX_BUF_SIZE değerini aşacak herhangi bir kayıt kopyalanmadan önce işlem durdurulur, ardından mevcut toplu gönderim sevk edilir. Geriye kalan skb'ler kuyrukta kalır ve bir sonraki URB tamamlandığında boşaltılır. Bayt sınırı, döngünün çıkış semantiğini değiştirir: artık i == tx_skb_cnt - 1 olmadan önce çıkış yapabilir. Orijinal kodda tx_buf->len yalnızca son indekste kesinleştiriliyordu (len += offset), dolayısıyla erken bir kırılma, her kuyruktan çıkarılan skb tamamlanmada serbest bırakılırken yalnızca son kaydın uzunluğunu tutan bir URB gönderilmesine neden olur ve çerçevelerin sessizce düşürülmesine yol açar. Bunun yerine tx_buf->len yürüyen bir toplam haline getirildi ve tx_buf->offset her kayıt başına ilerletildi; round_up(nskb->len + 4, 4) adımı, döngü tamamlandığında orijinal adım ile aynıdır. MTU 2304 flood içeren donanım üzerinde test edilmiştir: döngü 15. kayıtta durur (len = 32144, offset = 32144, 32768 dahilinde), aşırı boyutlu URB gönderilmez ve MTU 1500 pingleri 20/20 oranında başarıyla geçer.