CVE-2026-98299

W jądrze Linuksa usunięto następującą lukę:

tcp: nie pozwól, aby tcp_rmem był ustawiony poniżej 4096

Możemy osiągnąć awarię dzielenia przez zero w tcp_rcvbuf_grow()
i tcp_rcv_space_just():

błąd dzielenia: 0000 [#1] PREEMPT SMP
RIP: 0010:tcp_rcvbuf_grow+0x187/0x450 net/ipv4/tcp_input.c:939
...
rosną = div_u64(((u64)rcvwin << 1) * (nowa - stara wartość), stara wartość);

Dzielenie wykorzystuje oldval = tp->rcvq_space.space jako dzielnik.
Gdy tp->rcvq_space.space wynosi zero, prowadzi to do dzielenia przez zero
wyjątek.

tp->rcvq_space.space jest inicjowany w tcp_init_buffer_space():
tp->rcvq_space.space = min3(tp->rcv_ssthresh, tp->rcv_wnd,
(u32)TCP_INIT_CWND * tp->advmss);

Jeśli tcp_rmem[1] jest skonfigurowany na bardzo małe wartości (takie jak 1),
sk->sk_rcvbuf jest inicjowany na 1. Następnie tcp_full_space(sk), co
oblicza (sk->sk_rcvbuf * scaling_ratio) >> 8, obcina do 0.
To ustawia tp->window_clamp = 0, tp->rcv_ssthresh = 0 i
tp->rcvq_space.space = 0. Później, gdy nadejdą dane i zostanie wywołany DRS,
tcp_rcvbuf_grow() dzieli przez oldval == 0.

W 2015 roku zatwierdź b1cb59cf2efe („net: sysctl_net_core: sprawdź SNDBUF
i RCVBUF dla minimalnej długości”) zapewniły, że net.core.rmem_default i
net.core.rmem_max nie może być ustawiony poniżej SOCK_MIN_RCVBUF. Podobnie,
SO_RCVBUF setsockopt wymusza max_t(int, val * 2, SOCK_MIN_RCVBUF).

Jednak net.ipv4.tcp_rmem nadal miał .extra1 = SYSCTL_ONE, umożliwiając
dowolnie małe wartości.

Ponieważ SOCK_MIN_RCVBUF zależy od sizeof(struct sk_buff) i cacheline
wyrównanie, jego wartość różni się w zależności od architektury i opcji konfiguracji.
Użycie stałej stałej wynoszącej 4096 zapewnia przewidywalną architekturę
niezależna dolna granica, która wszędzie bezpiecznie przekracza SOCK_MIN_RCVBUF
i odpowiada udokumentowanej domyślnej rozdzielczości 4K.

Napraw ten problem, ustawiając tcp_rmem.extra1 na 4096 i aktualizując dokumentację.