CVE-2026-52924

सारांश

Linux कर्नेल में, निम्नलिखित भेद्यता को हल किया गया है: sctp: पुराने COOKIE-ECHO हैंडलिंग पर आउटक्यू को शुद्ध करें sctp_stream_update() केवल तब लागू किया जाता है जब एसोसिएशन सेटअप/पुनर्विन्यास के दौरान एसोसिएशन को COOKIE_WAIT में स्थानांतरित किया जाता है। इस पथ में, आउटबाउंड स्ट्रीम शेड्यूलर स्थिति (stream->out_curr) के स्वच्छ होने की उम्मीद की जाती है, क्योंकि जब तक स्टेट मशीन आंशिक रूप से आगे नहीं बढ़ी है, तब तक कोई उपयोगकर्ता डेटा प्रसारित नहीं किया गया होना चाहिए। हालाँकि, sctp_sf_do_5_2_6_stale() में एक कोने का मामला मौजूद है: जब एक Stale Cookie ERROR प्राप्त होता है, तो एसोसिएशन को COOKIE_ECHOED से COOKIE_WAIT में वापस लाया जाता है। इस परिदृश्य में, उपयोगकर्ता डेटा पहले से ही कतारबद्ध हो सकता है और यहां तक कि COOKIE-ECHO चंक के साथ बंडल भी किया जा सकता है। रोलबैक के दौरान, sctp_stream_update() पुरानी स्ट्रीम तालिका को मुक्त करता है और एक नई स्थापित करता है, लेकिन यह stream->out_curr को अमान्य नहीं करता है। परिणामस्वरूप, out_curr अभी भी पिछली स्ट्रीम स्थिति से एक मुक्त sctp_stream_out प्रविष्टि की ओर इशारा कर सकता है। बाद में, SCTP शेड्यूलर डीक्यू पथ (FCFS, RR, PRIO, आदि) stream->out_curr->ext पर निर्भर करते हैं, जो sctp_stream_free() के माध्यम से पुरानी स्ट्रीम स्थिति जारी होने के बाद उपयोग-के-बाद-मुक्त (use-after-free) का कारण बन सकता है। इसके परिणामस्वरूप क्रैश होते हैं जैसे (Yuqi द्वारा रिपोर्ट किया गया): BUG: KASAN: slab-use-after-free in sctp_sched_fcfs_dequeue+0x13a/0x140 Read of size 8 at addr ff1100004d4d3208 by task mini_poc/9312 CPU: 1 UID: 1001 PID: 9312 Comm: mini_poc Not tainted 7.1.0-rc1-00305-gbd3a4795d574 #5 PREEMPT(full) sctp_sched_fcfs_dequeue+0x13a/0x140 sctp_outq_flush+0x1603/0x33e0 sctp_do_sm+0x31c9/0x5d30 sctp_assoc_bh_rcv+0x392/0x6f0 sctp_inq_push+0x1db/0x270 sctp_rcv+0x138d/0x3c10 Stale Cookie मामले को संभालते समय एसोसिएशन आउटक्यू को पूरी तरह से शुद्ध करके इसे ठीक करें। यह सुनिश्चित करता है कि सभी लंबित ट्रांसमिट और रीट्रांसमिट स्थिति हटा दी जाती है, और कोई भी शेड्यूलर कैश्ड पॉइंटर अमान्य कर दिया जाता है, जिससे COOKIE_WAIT पुनरारंभ के दौरान स्ट्रीम स्थिति का पुनर्निर्माण करना सुरक्षित हो जाता है। केवल stream->out_curr को अपडेट करना अपर्याप्त होगा, क्योंकि कतारबद्ध और पुनःप्रसारण योग्य डेटा अभी भी पुरानी स्ट्रीम स्थिति को संदर्भित करेगा और डीक्यू पथों में बाद में उपयोग-के-बाद-मुक्त को ट्रिगर करेगा।