CVE-2026-99055

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: tcp: zerocopy alma eşleme ipuçlarında net_iov reddedilsin Okunabilir bir önek kopyalandıktan sonra, receive_fallback_to_copy() fonksiyonu sayfa eşlemenin nereden devam edebileceğini tcp_zerocopy_set_hint_for_skb() fonksiyonuna sorar. Eğer bir sonraki skb okunamaz durumdaysa, find_next_mappable_frag() kendi net_iov fragmanını can_map_frag() fonksiyonuna iletir. skb_frag_page() bir net_iov için NULL döndürür ancak can_map_frag() bunu PageCompound() içerisinde dereference eder. Bağlı bir TCP soketi üzerinde, 64 okunabilir baytı takip eden 4096 baytlık bir NET_IOV_DMABUF fragmanı ile yapılan v7.2 KASAN çalışması şunları raporlamıştır: BUG: KASAN: null-ptr-deref in can_map_frag tcp_zerocopy_receive -> can_map_frag Kernel panic - not syncing: KASAN: panic_on_warn set Test ana bilgisayarında devmem özellikli bir NIC bulunmadığından, tanı işlemi net_iov'yi doğrudan eklemiştir. Donanım uçtan uca erişilebilirliği henüz test edilmemiştir ve CONFIG_NET_DEVMEM ile desteklenen bir DMA-buf-bağlı RX kuyruğu gerektirmektedir. skb_frag_page() öncesinde tüm net_iov fragmanlarını reddedin. Bu işlem, sayfa tabanlı kontrolleri değiştirmeden hem DMABUF hem de IOURING net_iov türlerini kapsar. Koruma ile birlikte aynı kuyruk okunabilir öneği kopyalamış, 4096 baytlık bir atlama ipucu döndürmüş ve herhangi bir hata oluşmadan tamamlanmıştır.