CVE-2026-99076

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ipv6: udp: Soket eşleşmesinden önce istisnaların oluşturulması Şu anda, ICMPv6 Paket Çok Büyük (Packet Too Big) ve Yönlendirme Mesajı (Redirect Message) paketleri yerel olarak iletildiğinde ve bir UDP paketini alıntıladığında, yalnızca çekirdek UDP paketini mevcut bir soketle eşleştirebilirse IPv6 istisna önbelleğinde bir istisna oluşturulur. Bu davranış, yol dışındaki (off-path) saldırganların, bağlı bir UDP soketi tarafından kullanılan geçici portu keşfetmek amacıyla istisna önbelleği üzerinde yan kanal saldırısı gerçekleştirmesine olanak tanır. 4785305c05b2 ("ipv6: rt6_exception_hash() içinde siphash kullanın") ve a00df2caffed ("ipv6: istisna önbelleğini daha az öngörülebilir hale getirin") commit'leri; sırasıyla saldırganların istisna önbelleğindeki karma çakışmalarını keşfetmesini zorlaştırarak ve bir karma kovasının tutabileceği istisna sayısını rastgele hale getirerek bu tür saldırıları hafifletmeye çalışmıştır. Ne yazık ki, her iki hafifletme yöntemi de atlatılabilir. Bunun yerine, eşleşen bir soket aramaya çalışmadan önce her zaman bir istisna oluşturarak bu tür saldırıları hafifletin. Bunu, alıntılanan paketin bir soketten kaynaklanmadığı durumlarda kullanılan yardımcı fonksiyonlar olan ip6_update_pmtu() ve ip6_redirect() çağrılarak yapın. Bu durum, yol dışındaki bir saldırganın tahminlerinin (doğru veya yanlış), saldırganın gözlemleyebileceği önbellekte her zaman bir istisnanın oluşturulmasıyla veya güncellenmesiyle sonuçlanacağı anlamına gelir. Giriş cihazının ifindex değerini ve varsayılan uid bilgisini, icmpv6_err() fonksiyonuna benzer şekilde aktarın. IPv4'ün aksine, 0 olan bir oif değeri ip6_redirect_nh_match() içinde hiçbir nexthop ile eşleşmez ve bir Yönlendirme Mesajına yanıt olarak herhangi bir istisna oluşturulmaz. Her iki yardımcı fonksiyonun zaten çok az doğrulama ile veya hiç doğrulama olmadan erişilebilir olduğu göz önüne alındığında, bunun saldırganların daha önce oluşturamadıkları istisnaları oluşturmalarına izin vermediğine dikkat edin. Örneğin, bir ICMPv6 Yankı Yanıtını (Echo Reply) alıntılayan veya joker karakterli bir soketle eşleşen bir UDP kaynak portunu alıntılayan bir ICMPv6 hatası gönderilerek bunu yapılabilir. Ayrıca, iyi durumda (eşleşen soket olduğunda), yukarıdaki şemanın ek bir rota aramasının maliyetiyle geldiğine dikkat edin; çünkü soketsiz yardımcı fonksiyonlar, ip6_sk_update_pmtu() / ip6_sk_redirect() tarafından gerçekleştirilen aramadan önce kendi aramalarını yürütürler. İkisi farklı nexthop'lara çözümlendiğinde, aynı hedef IP için iki istisna oluşturulmasıyla sonuçlanır: Biri soketsiz yardımcı fonksiyonlar tarafından çözümlenen nexthop'ın istisna önbelleğinde, diğeri ise soket tarafından kullanılan nexthop'ın istisna önbelleğinde oluşur.