CVE-2026-64564

ملخص

في نواة لينكس، تم حل الثغرة الأمنية التالية: sctp: لا تقم بتحرير الناقل الخاص بـ ASCONF نفسه أثناء معالجة DEL-IP تقوم الدالة `sctp_process_asconf()` بتخزين الناقل الذي تتم معالجة كتلة ASCONF ضده في `asconf->transport` (== `chunk->transport`، ويتم تعيينه مرة واحدة في `sctp_rcv()`). بالنسبة لـ ASCONF الذي يتم تحديد موقعه عبر معامل العنوان الخاص به بواسطة `__sctp_rcv_asconf_lookup()`، فإن ذلك الناقل المخزن يقابل معامل العنوان، والذي قد لا يكون عنوان مصدر الحزمة. ترفض الدالة `sctp_process_asconf_param()` أمر DEL-IP لعنوان مصدر الحزمة (ADDIP D8، SCTP_ERROR_DEL_SRC_IP)، لكن لا شيء يحمي `asconf->transport`. يمكن لكتلة ASCONF واحدة أن تحمل، بالترتيب: [معامل العنوان L] [DEL-IP L] [DEL-IP 0.0.0.0] حيث يختلف L عن المصدر. يمر أمر DEL-IP الخاص بـ L بفحص D8 ويستدعي `sctp_assoc_rm_peer()` على الناقل الذي لا يزال `asconf->transport` يشير إليه، مما يؤدي إلى تحريره (مؤجل عبر RCU). ثم يعيد أمر DEL-IP العام التالي استخدام `asconf->transport` الذي أصبح معلقًا في `sctp_assoc_set_primary()` و`sctp_assoc_del_nonprimary_peers()`: تقوم `set_primary()` بإلغاء الإشارة إلى الناقل المحرر (`->ipaddr`، `->state`) وتزرع المؤشر المعلق في `asoc->peer.primary_path` / `active_path`، بينما تقوم `del_nonprimary_peers()`، مع الإبقاء فقط على المؤشر الذي لم يعد موجودًا في القائمة، بإزالة كل ناقل حقيقي، تاركة الارتباط بعدد ناقلات يساوي 0 و`primary_path`/`active_path` يشيران إلى ذاكرة محررة. ارفض أمر DEL-IP الذي يستهدف الناقل الذي تتم معالجة ASCONF ضده، بما يعكس حارس عنوان المصدر الحالي، بحيث لا يمكن للفرع العام أبدًا إعادة استخدام ناقل محرر.

• CVE-2026-64564PoC

  LPE على Deb