CVE-2026-99282

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net/sched: sch_teql: alt qdisc paket düşürmelerinde oluşan serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi Sorun: teql_master_xmit(), slave bileşeninin ndo_start_xmit() dönüş değerini yalnızca NETDEV_TX_OK ile karşılaştırmaktadır. skb'yi tüketen ancak bir hata kodu (rc < NET_XMIT_MASK, örneğin NET_XMIT_DROP) döndüren bir slave, sanki skb hala sahipliğindeymiş gibi işlem görür; bu nedenle döngü skb->dev değerini geri yükler ve üzerinde __skb_pull() fonksiyonunu çağırır. Bir VLAN slave'i, ndo_start_xmit() fonksiyonundan dev_queue_xmit() sonucunu döndürür (cbbef5e18307 sürümünden beri aktarılmaktadır) ve alt qdisc paketi düşürdüğünde, skb serbest bırakıldıktan sonra bu değer NET_XMIT_DROP olur; bu durum teql_master_xmit() içerisinde bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. Çözüm: Tüketim kontrolü için, NETDEV_TX_OK ve tüm rc < NET_XMIT_MASK değerlerini kabul eden ve tüketilen sonuçları meşgul olanlardan ayırması gereken diğer çağrıcılarla uyumlu olan dev_xmit_complete() kullanılmıştır. Yalnızca NETDEV_TX_OK değeri paketin tx_packets/tx_bytes içinde sayılmasını sağlar ve slave'i ilerletir; ne başarılı ne de NET_XMIT_CN olan tüketilmiş bir sonuç denemeyi sonlandırır ve tx_dropped olarak kaydedilir, böylece alt-qdisc paket düşürmeleri artık başarılı iletimler olarak raporlanmaz. NET_XMIT_CN, mevcut paketin kabulüne eşlik edebileceği için başarıyla aynı şekilde sayılır: pfifo_head_drop eski başlığı düşürür, mevcut skb'yi sıraya ekler ve NET_XMIT_CN döndürür. Hatanın yeniden oluşturulma koşulları: CONFIG_NET_SCH_TEQL, CONFIG_VLAN_8021Q ve CONFIG_DUMMY etkinleştirilmişken; lkrdummy0 (dummy) ve lkrvlan0 (lkrdummy0 üzerinde VLAN id 37) ekleyin; lkrdummy0 üzerine pfifo limit 0 root ve lkrvlan0 üzerine teql0 root ayarlayın; teql0'ı bir adresle aktif hale getirin ve ona bir UDP paketi gönderin. VLAN xmit, serbest bırakılmış bir skb tutarken alt qdisc'den NET_XMIT_DROP döndürür.