CVE-2026-64564

सारांश

Linux कर्नेल में, निम्नलिखित भेद्यता को हल किया गया है: sctp: DEL-IP प्रोसेसिंग में ASCONF के अपने ट्रांसपोर्ट को मुक्त न करें sctp_process_asconf() उस ट्रांसपोर्ट को कैश करता है जिसके विरुद्ध ASCONF चंक को asconf->transport (== chunk->transport, sctp_rcv() में एक बार सेट किया गया) में प्रोसेस किया जाता है। __sctp_rcv_asconf_lookup() द्वारा अपने Address Parameter के माध्यम से स्थित ASCONF के लिए, वह कैश किया गया ट्रांसपोर्ट Address Parameter के अनुरूप होता है, जो पैकेट का स्रोत पता होना आवश्यक नहीं है। sctp_process_asconf_param() पैकेट स्रोत पते के लिए DEL-IP को अस्वीकार करता है (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), लेकिन कुछ भी asconf->transport की सुरक्षा नहीं करता। एक एकल ASCONF इसलिए, क्रम में, ले जा सकता है: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] जहाँ L स्रोत से भिन्न होता है। L के लिए DEL-IP D8 जाँच पास करता है और sctp_assoc_rm_peer() को उस ट्रांसपोर्ट पर कॉल करता है जिस पर asconf->transport अभी भी इंगित करता है, उसे मुक्त करते हुए (RCU-विलंबित)। निम्नलिखित वाइल्डकार्ड DEL-IP फिर sctp_assoc_set_primary() और sctp_assoc_del_nonprimary_peers() में अब-लटकते asconf->transport का पुनः उपयोग करता है: set_primary() मुक्त किए गए ट्रांसपोर्ट (->ipaddr, ->state) को डीरेफरेंस करता है और लटकते पॉइंटर को asoc->peer.primary_path / active_path में स्थापित करता है, और del_nonprimary_peers(), केवल उस पॉइंटर को रखते हुए जो अब सूची में नहीं है, हर वास्तविक ट्रांसपोर्ट को हटा देता है, जिससे एसोसिएशन transport_count 0 के साथ और primary_path/active_path मुक्त मेमोरी की ओर इंगित करते हुए रह जाती है। उस ट्रांसपोर्ट को लक्षित करने वाले DEL-IP को अस्वीकार करें जिसके विरुद्ध ASCONF प्रोसेस किया जा रहा है, मौजूदा स्रोत-पता गार्ड को प्रतिबिंबित करते हुए, ताकि वाइल्डकार्ड शाखा कभी भी मुक्त किए गए ट्रांसपोर्ट का पुनः उपयोग न कर सके।

• CVE-2026-64564PoC

  Deb पर LPE