CVE-2026-98968

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: amt: relay'in General Query mesajını doğrudan alma yolundan gönderin Bir qdisc içinde kuyruğa alınan bir skb, skb->cb içindeki ham bir işaretçi aracılığıyla referans verdiği tünelden daha uzun süre yaşayabilir. Örneğin, relay üzerinde igmp_qrv 1 olarak ayarlandığında bir tünel 135 saniye boyunca yaşar, ancak amt cihazındaki 180 saniyelik bir netem gecikmesi bu süreyi aşar; tünelin süresi dolup serbest bırakıldığında, sonraki dequeue işlemi amt_dev_xmit() fonksiyonunda bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasını tetikler. BUG: KASAN: slab-use-after-free in amt_dev_xmit+0x2763/0x2e20 Call Trace: amt_dev_xmit+0x2763/0x2e20 [drivers/net/amt.c:1262] dev_hard_start_xmit+0x22f/0x620 sch_direct_xmit+0x12e/0xac0 netem_dequeue+0x333/0xc50 net_tx_action+0x35c/0xa60 amt_send_igmp_gq() ve amt_send_mld_gq() fonksiyonları yalnızca amt_rcv() içerisindeki rcu_read_lock_bh() bölümünde bulunan amt_request_handler() tarafından çağrılır. amt_request_handler() zaten sorgunun yapıldığı tünele sahiptir: onu söz konusu bölüm içinde bulmuş veya oluşturmuştur. Sorguyu dev_queue_xmit() ile kuyruğa almak, sadece Ethernet başlığını çıkaran ve o tünel için amt_send_membership_query() fonksiyonunu çağıran amt_dev_xmit() fonksiyonuna geri döner. Bunun yerine, amt_send_advertisement() fonksiyonunun alma yolundan iletim yapmasıyla aynı şekilde, bu çağrıyı doğrudan iki göndericiden gerçekleştirin. Sorgu hiçbir zaman bir qdisc içinde beklemez, tünel yalnızca onu bulan veya oluşturan RCU bölümü içinde çözümlenir ve skb->cb içine hiçbir şey kaydedilmediği için herhangi bir arama veya referans sayacı gerekmez. Artık kullanıcısı kalmayan amt_dev_xmit()'in sorgu dalı, amt_skb_cb() ve struct amt_skb_cb kaldırılmıştır. Davranış değişiklikleri: - Relay'in kendi General Query mesajları artık amt cihazının çıkış yolu üzerinden geçmez: qdisc, tc egress (clsact/tcx), netfilter egress kancası ve paket muslukları (packet taps) devre dışıdır. Bunlar alt katmanda hala UDP olarak görünürler. - Başarıyla gönderilen bir sorgu artık tx_dropped olarak sayılmaz. Eski sorgu dalı, her gönderilen sorguyu düşmüş olarak sayan unlock etiketi üzerinden ayrılıyordu. - Kullanıcı alanı sorgulayıcısı gibi başka bir yerden gelen ve bir relay üzerindeki amt_dev_xmit() fonksiyonuna ulaşan bir sorgu, artık IGMP/MLD tip anahtarında düşürülür. Daha önce skb->cb içeriğine güveniliyordu ve NULL olan bir tünel WARN_ON(1) hatasına yol açıyordu.