CVE-2026-64564

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été résolue : sctp : ne pas libérer le transport propre de l'ASCONF lors du traitement DEL-IP sctp_process_asconf() met en cache le transport sur lequel le morceau ASCONF est traité dans asconf->transport (== chunk->transport, défini une fois dans sctp_rcv()). Pour un ASCONF localisé via son paramètre d'adresse par __sctp_rcv_asconf_lookup(), ce transport mis en cache correspond au paramètre d'adresse, qui ne doit pas nécessairement être l'adresse source du paquet. sctp_process_asconf_param() rejette un DEL-IP pour l'adresse source du paquet (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), mais rien ne protège asconf->transport. Un seul ASCONF peut donc transporter, dans l'ordre : [Paramètre d'adresse L] [DEL-IP L] [DEL-IP 0.0.0.0] où L diffère de la source. Le DEL-IP pour L passe le contrôle D8 et appelle sctp_assoc_rm_peer() sur le transport vers lequel asconf->transport pointe encore, le libérant (différé par RCU). Le DEL-IP générique suivant réutilise alors asconf->transport, désormais pendant, dans sctp_assoc_set_primary() et sctp_assoc_del_nonprimary_peers() : set_primary() déréférence le transport libéré (->ipaddr, ->state) et place le pointeur pendant dans asoc->peer.primary_path / active_path, et del_nonprimary_peers(), ne conservant que le pointeur qui n'est plus sur la liste, supprime tous les transports réels, laissant l'association avec un transport_count de 0 et primary_path/active_path pointant vers de la mémoire libérée. Rejetez un DEL-IP qui cible le transport sur lequel l'ASCONF est en cours de traitement, en miroir de la protection existante sur l'adresse source, afin que la branche générique ne puisse jamais réutiliser un transport libéré.

• CVE-2026-64564PoC

  LPE sur Deb