CVE-2026-64563

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été résolue : rhashtable : effacer le iter->p obsolète lors du redémarrage de la table rhashtable_walk_start_check() comporte deux chemins de redémarrage lors de la reprise d'une itération. Lorsque iter->walker.tbl est valide, il revalide iter->p par rapport à la table et définit iter->p = NULL si l'objet a disparu. Lorsque iter->walker.tbl est NULL (la table a été libérée pendant un redimensionnement), il réinitialise slot et skip mais oublie d'effacer iter->p. rhashtable_walk_next() déréférence alors le iter->p obsolète, lisant de la mémoire libérée. Il s'agit d'une use-after-free. Tout appelant qui effectue des itérations rhashtable multi-fragments à travers les limites walk_stop/walk_start est concerné. Les cas concrets incluent netlink_diag (__netlink_diag_dump dans net/netlink/diag.c) et TIPC (tipc_nl_sk_walk dans net/tipc/socket.c). Pile de crash (netlink_diag) : BUG: KASAN: slab-use-after-free in rhashtable_walk_next+0x365/0x3c0 Read of size 8 at addr ffff88801a9d2438 (freed kmalloc-2k, offset 1080) Call Trace: rhashtable_walk_next+0x365/0x3c0 (lib/rhashtable.c:1016) __netlink_diag_dump+0x160/0x760 (net/netlink/diag.c:122) netlink_diag_dump+0xc2/0x240 netlink_dump+0x5bc/0x1270 netlink_recvmsg+0x7a3/0x980 sock_recvmsg+0x1bc/0x200 __sys_recvfrom+0x1d4/0x2c0

• CVE-2026-64563_EXPPoC

  PoC non vérifié d'élévation de privilèges sur le noyau Linux utilisant la réutilisation cross-cache de msg_msgseg pour chevaucher skb et pipe_buffer, en modifiant les drapeaux du pipe afin de lire /etc/passwd.