CVE-2026-98040

W jądrze Linuksa usunięto następującą lukę:

bpf: Zaznacz precyzyjnie rejestr zerowy dla sprawdzenia NULL w formie rejestru

check_cond_jmp_op() akceptuje „if rA <op> rB” jako NULL sprawdzanie
wskaźnik dopuszczający wartość null rA, gdy rB jest skalarem, o którym wiadomo, że wynosi zero,
podnosi PTR_MAYBE_NULL z rA w odpowiedniej gałęzi, ale tego nie robi
zaznacz rB precyzyjnie. Rozważmy następujący program:

r0 = bpf_get_prandom_u32();
r6 = 1; /* najpierw sprawdzana jest ścieżka r6 == 0 */
jeśli (r0 == 0) przejdź do 1f;
r6 = 0;
1:
r0 = bpf_map_lookup_elem(mapa, &0); /* brak, NULL w czasie wykonywania */
jeśli (r0 == r6) przejdź do 2f; /* traktowane jako sprawdzenie NULL dla r0 */
*(u8 *)(r0 + 0); /* weryfikator: wartość mapy; czas działania: zero */
2:
zwróć 0;

Najpierw sprawdzana jest ścieżka r6 == 0 i akceptowane jest dereferencja.
Ścieżka r6 == 1 jest czyszczona w punkcie kontrolnym zarejestrowanym dla (1),
więc porównanie nigdy nie jest weryfikowane z niezerowym r6. W czasie wykonywania a
nieudane wyszukiwanie zwraca NULL, NULL != 1 przyjmuje krawędź inną niż NULL i
program odwołuje się do wskaźnika o wartości zero.