CVE-2026-64563

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: rhashtable: clear stale iter->p on table restart rhashtable_walk_start_check() hat zwei Neustartpfade, wenn eine Iteration fortgesetzt wird. Wenn iter->walker.tbl gültig ist, wird iter->p erneut gegen die Tabelle validiert und iter->p = NULL gesetzt, falls das Objekt nicht mehr vorhanden ist. Wenn iter->walker.tbl NULL ist (Tabelle wurde während der Größenänderung freigegeben), werden slot und skip zurückgesetzt, aber iter->p wird nicht gelöscht. rhashtable_walk_next() dereferenziert dann den veralteten iter->p und liest freigegebenen Speicher. Dies ist ein Use-after-Free. Jeder Aufrufer, der Multi-Fragment-rhashtable-Iterationen über walk_stop/walk_start-Grenzen hinweg durchführt, ist betroffen. Konkrete Fälle umfassen netlink_diag (__netlink_diag_dump in net/netlink/diag.c) und TIPC (tipc_nl_sk_walk in net/tipc/socket.c). Absturz-Stack (netlink_diag): BUG: KASAN: slab-use-after-free in rhashtable_walk_next+0x365/0x3c0 Read of size 8 at addr ffff88801a9d2438 (freed kmalloc-2k, offset 1080) Call Trace: rhashtable_walk_next+0x365/0x3c0 (lib/rhashtable.c:1016) __netlink_diag_dump+0x160/0x760 (net/netlink/diag.c:122) netlink_diag_dump+0xc2/0x240 netlink_dump+0x5bc/0x1270 netlink_recvmsg+0x7a3/0x980 sock_recvmsg+0x1bc/0x200 __sys_recvfrom+0x1d4/0x2c0

• CVE-2026-64563_EXPPoC

  Unverifizierter Linux-Kernel-Privilege-Escalation-PoC, der msg_msgseg-Cross-Cache-Reuse nutzt, um skb und pipe_buffer zu überlappen und durch Änderung der Pipe-Flags /etc/passwd zu lesen.