CVE-2026-98955

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: flow_dissector: thoff hesaplanırken skb->len'in u16 kırpılmasının önlenmesi __skb_flow_dissect(), key_control->thoff değerini şu şekilde hesaplar: key_control->thoff = min_t(u16, nhoff, skb ? skb->len : hlen); min_t(u16, ...), karşılaştırmadan önce her iki bağımsız değişkeni de u16 türüne dönüştürür. skb->len (veya hlen) modülüs 65536 değeri nhoff'tan küçük olduğunda, ayrıştırma başarılı olsa bile kırpılmış uzunluk baskın gelir ve thoff hatalı bir küçük değere ayarlanır. Örneğin, skb->len == 65540 ve nhoff == 34 olan bir IPv4/TCP çerçevesinde thoff == 4 olur; böylece skb_probe_transport_header() gibi çağıran fonksiyonlar taşıma başlığını Ethernet başlığının içinde işaret eder. Bu tür skb'ler nadir değildir: - d0c081b49137 ("flow_dissector: properly cap thoff field") commit'i sırasında, PACKET_VNET_HDR ile AF_PACKET zaten 64KB'dan büyük GSO skb'leri oluşturabiliyordu (GSO için MTU kontrolleri atlanır ve alloc_skb_with_frags(), doğrusal kısmın üzerine MAX_SKB_FRAGS (17) kadar order-0 sayfa kabul ediyordu). - BIG TCP artık 64KB'dan büyük skb'lerin yaygınlaşmasını sağlamaktadır. - Aşağıdaki yama, tun_get_user()'ın eth_type_trans() Ethernet başlığını çekmeden önce IFF_TAP çerçevelerini ayrıştırmasını sağlar; bu nedenle 65522..65535 baytlık bir L3 paket taşıyan bir GSO çerçevesi, skb->len [65536, 65549] aralığında olacak şekilde ayrıştırılacaktır. Karşılaştırma işlemi yerine u32 kullanılmıştır. Sonuçlanan ofset u16 key_control->thoff içerisinde temsil edilemiyorsa, sessizce yanlış bir taşıma ofseti döndürmek yerine değer U16_MAX ile sınırlandırılır ve ayrıştırma başarısız olarak raporlanır. Bazı çağıran fonksiyonlar (eth_get_headlen() gibi) dönüş değerine bakmaksızın kullandığından, hata durumunda da thoff hala ayarlanmaktadır.