CVE-2026-52924: SCTP स्टेल कुकी हैंडलिंग में यूज़-आफ्टर-फ्री

भेद्यता सारांश

CVE ID: CVE-2026-52924
गंभीरता: CRITICAL (CVSS 9.8)
घटक: Linux Kernel - SCTP (स्ट्रीम कंट्रोल ट्रांसमिशन प्रोटोकॉल)
प्रकार: यूज़-आफ्टर-फ्री (CWE-416, CWE-825)
प्रकाशित: 2026-06-24
स्थिति: ठीक किया गया

प्रभावित संस्करण

• Linux Kernel < 5.10.259
• Linux Kernel < 5.15.210
• Linux Kernel < 6.1.176
• Linux Kernel < 6.6.143
• Linux Kernel < 6.12.94
• Linux Kernel < 6.18.36
• Linux Kernel < 7.0.13
• Linux Kernel < 7.1

तकनीकी विवरण

मूल कारण

यह भेद्यता SCTP स्टेट मशीन की स्टेल COOKIE-ECHO पैकेट की हैंडलिंग में होती है। समस्या में आउटबाउंड स्ट्रीम कतार की अनुचित सफाई शामिल है जब कोई एसोसिएशन रोलबैक होता है।

हमले का प्रवाह

1. सामान्य संचालन: एसोसिएशन COOKIE_ECHOED स्थिति में जाता है
2. उपयोगकर्ता डेटा कतारबद्ध: एप्लिकेशन डेटा भेजता है, जो ट्रांसमिशन के लिए कतारबद्ध होता है
3. स्टेल कुकी त्रुटि: दूरस्थ पीयर एक स्टेल कुकी त्रुटि भेजता है
4. रोलबैक ट्रिगर: एसोसिएशन COOKIE_ECHOED → COOKIE_WAIT से रोलबैक होता है
5. स्ट्रीम स्थिति अपडेट: sctp_stream_update() पुरानी स्ट्रीम तालिका को मुक्त करता है, नई स्थापित करता है
6. अमान्य पॉइंटर: stream->out_curr अभी भी मुक्त sctp_stream_out प्रविष्टि की ओर इशारा करता है
7. डीक्यू एक्सेस: जब शेड्यूलर डीक्यू करने की कोशिश करता है (FCFS, RR, PRIO), यह out_curr->ext तक पहुंचता है
8. यूज़-आफ्टर-फ्री: मुक्त मेमोरी तक पहुंच → KASAN डिटेक्शन के माध्यम से कर्नेल क्रैश

समस्याग्रस्त कोड प्रवाह

sctp_sf_do_5_2_6_stale():
  ├─ स्टेल कुकी त्रुटि प्राप्त करें
  ├─ एसोसिएशन स्थिति रोलबैक करें
  └─ sctp_stream_update() कॉल करें
       ├─ पुरानी स्ट्रीम तालिका मुक्त करें
       ├─ नई स्ट्रीम तालिका स्थापित करें
       └─ BUG: stream->out_curr अमान्य नहीं किया गया ❌

बाद में डीक्यू करते समय:
  sctp_sched_fcfs_dequeue():
    └─ stream->out_curr->ext तक पहुंचें  (मुक्त मेमोरी) 💥

क्रैश उदाहरण

BUG: KASAN: slab-use-after-free in sctp_sched_fcfs_dequeue+0x13a/0x140
Read of size 8 at addr ff1100004d4d3208 by task mini_poc/9312
CPU: 1 UID: 1001 PID: 9312 Comm: mini_poc Not tainted 7.1.0-rc1-00305-gbd3a4795d574 #5 PREEMPT(full)

Call trace:
  sctp_sched_fcfs_dequeue+0x13a/0x140
  sctp_outq_flush+0x1603/0x33e0
  sctp_do_sm+0x31c9/0x5d30
  sctp_assoc_bh_rcv+0x392/0x6f0
  sctp_inq_push+0x1db/0x270
  sctp_rcv+0x138d/0x3c10

केवल out_curr अपडेट करना पर्याप्त क्यों नहीं है

एक सरल फिक्स केवल stream->out_curr को साफ करना हो सकता है:

// अपर्याप्त फिक्स ❌
stream->out_curr = NULL;

समस्या: आउटक्यू में अभी भी शामिल है:

• पुरानी स्ट्रीम स्थिति का संदर्भ देने वाले कतारबद्ध डेटा चंक
• पुरानी स्ट्रीम की ओर इशारा करने वाली रीट्रांसमिट कतार प्रविष्टियाँ
• पुराने स्ट्रीम मेटाडेटा के साथ बंडल किए गए नियंत्रण चंक

ये स्टेल संदर्भ एक्सेस होने पर अभी भी यूज़-आफ्टर-फ्री का कारण बनेंगे।

सही फिक्स

समाधान: स्टेल कुकी हैंडलिंग के दौरान एसोसिएशन की आउटक्यू को पूरी तरह से शुद्ध करें।

// सही फिक्स ✓
sctp_outq_free(&asoc->outqueue);

यह सुनिश्चित करता है:

1. सभी लंबित ट्रांसमिट डेटा हटा दिया जाता है
2. सभी रीट्रांसमिट कतार प्रविष्टियाँ मुक्त हो जाती हैं
3. शेड्यूलर कैश्ड पॉइंटर्स (out_curr, आदि) अमान्य हो जाते हैं
4. COOKIE_WAIT पुनरारंभ के दौरान स्ट्रीम स्थिति सुरक्षित रूप से पुनर्निर्मित की जा सकती है
5. मुक्त स्ट्रीम प्रविष्टियों का कोई लटकता संदर्भ नहीं

कार्यान्वयन स्थान

फ़ाइल: net/sctp/sm_statefuns.c
फ़ंक्शन: sctp_sf_do_5_2_6_stale()
जोड़: sctp_stream_update() से पहले sctp_outq_free(&asoc->outqueue) कॉल करें

enum sctp_disposition sctp_sf_do_5_2_6_stale(...)
{
    // ... मौजूदा कोड ...
    
    // स्ट्रीम स्थिति पुनर्निर्माण से पहले आउटक्यू शुद्ध करें
    sctp_outq_free(&asoc->outqueue);
    
    // अब स्ट्रीम अपडेट करना सुरक्षित है
    sctp_stream_update(&asoc->stream, &asoc->c.h_init_tag);
    
    // ... फ़ंक्शन का शेष भाग ...
}

प्रभाव विश्लेषण

गंभीरता कारक (CVSS 9.8)

• हमला वेक्टर: नेटवर्क (CVSS:3.1/AV:N)
• हमला जटिलता: कम (CVSS:3.1/AC:L)
• आवश्यक विशेषाधिकार: कोई नहीं (CVSS:3.1/PR:N)
• उपयोगकर्ता सहभागिता: कोई नहीं (CVSS:3.1/UI:N)
• दायरा: अपरिवर्तित (CVSS:3.1/S:U)
• गोपनीयता प्रभाव: उच्च (CVSS:3.1/C:H)
• अखंडता प्रभाव: उच्च (CVSS:3.1/I:H)
• उपलब्धता प्रभाव: उच्च (CVSS:3.1/A:H)

शोषण आवश्यकताएँ

1. लक्ष्य प्रणाली तक नेटवर्क पहुंच (SCTP पोर्ट खुला)
2. कनेक्शन स्थापित करने के लिए SCTP पैकेट भेजने की क्षमता
3. विशिष्ट समय पर स्टेल कुकी त्रुटि भेजें (COOKIE_ECHOED स्थिति)
4. शेड्यूलर डीक्यू ऑपरेशन ट्रिगर करें

हमले के परिदृश्य

1. सेवा से वंचित: कर्नेल को बार-बार क्रैश करें → DoS
2. सूचना प्रकटीकरण: UAF के माध्यम से कर्नेल मेमोरी पढ़ें
3. विशेषाधिकार वृद्धि: मेमोरी हेरफेर के माध्यम से संभावित
4. दूरस्थ कोड निष्पादन: मेमोरी भ्रष्टाचार शोषण के साथ संभव

पहचान विधियाँ

KASAN डिटेक्शन (रनटाइम)

# कर्नेल कॉन्फ़िग में KASAN सक्षम करें
CONFIG_KASAN=y
CONFIG_KASAN_GENERIC=y

# रनटाइम आउटपुट दिखाता है:
BUG: KASAN: slab-use-after-free

स्थैतिक विश्लेषण

# सत्यापन के बिना असुरक्षित stream->out_curr एक्सेस देखें
grep -r "out_curr->ext" net/sctp/
grep -r "out_curr->" net/sctp/sched*.c

नेटवर्क डिटेक्शन

• SCTP स्टेल कुकी ERROR पैकेट (टाइप 3, कोड 1) के लिए निगरानी करें
• कनेक्शन रोलबैक पैटर्न ट्रैक करें
• तेज़ COOKIE_ECHOED → COOKIE_WAIT संक्रमणों पर अलर्ट करें

शमन रणनीतियाँ

अस्थायी शमन (पैच होने तक)

1. SCTP अक्षम करें: SCTP मॉड्यूल हटाएं या SCTP पोर्ट (132, 132 UDP) ब्लॉक करें

   echo "install sctp /bin/true" >> /etc/modprobe.d/sctp-disable.conf
   

2. फ़ायरवॉल नियम: नेटवर्क सीमा पर SCTP ट्रैफ़िक ब्लॉक करें

   iptables -A INPUT -p sctp -j DROP
   

3. कर्नेल संस्करण: पैच किए गए संस्करणों में अपग्रेड करें

   • 5.10.259+
   • 5.15.210+
   • 6.1.176+
   • 6.6.143+
   • 6.12.94+
   • 6.18.36+
   • 7.0.13+
   • 7.1+ (नवीनतम)

स्थायी फिक्स

कर्नेल पैच लागू करें जो sctp_sf_do_5_2_6_stale() में sctp_outq_free() कॉल करता है।

संदर्भ

• CWE-416: यूज़ आफ्टर फ्री
• CWE-825: समाप्त पॉइंटर डीरेफरेंस
• CVSS कैलकुलेटर: https://www.first.org/cvss/calculator/3.1
• NVD प्रविष्टि: CVE-2026-52924
• Linux Kernel सुरक्षा: https://www.kernel.org/doc/html/latest/security/

परीक्षण अनुशंसाएँ

यूनिट परीक्षण

1. सत्यापित करें कि sctp_outq_free() out_curr को ठीक से अमान्य करता है
2. सत्यापित करें कि outq_free के दौरान सभी कतारबद्ध डेटा मुक्त हो जाता है
3. सत्यापित करें कि रीट्रांसमिट कतार साफ हो जाती है
4. आउटक्यू शुद्धि के बाद शेड्यूलर व्यवहार का परीक्षण करें

एकीकरण परीक्षण

1. सामान्य स्टेल कुकी पुनर्प्राप्ति प्रवाह
2. स्टेल कुकी प्राप्त होने पर डेटा इन फ्लाइट
3. कई तेज़ स्टेल कुकीज़
4. विभिन्न SCTP शेड्यूलर (FCFS, RR, PRIO)

फ़ज़ परीक्षण

1. स्टेल कुकी त्रुटियों के साथ SCTP पैकेट भेजें
2. त्रुटि इंजेक्शन का समय बदलें
3. इन फ्लाइट डेटा की मात्रा बदलें
4. उच्च लोड स्थितियों के साथ परीक्षण करें

समयरेखा

• 2026-06-24: भेद्यता सार्वजनिक रूप से प्रकट हुई
• स्थिति: फिक्स उपलब्ध
• EPSS स्कोर: 0.3% (27वां प्रतिशतक)
  • कम शोषण संभावना
  • विशिष्ट नेटवर्क स्थितियों की आवश्यकता
  • सीमित वास्तविक-विश्व शोषण अनुक्रमित

---

लेखक: Elliot
दस्तावेज़ संस्करण: 1.0
अंतिम अपडेट: 2026-09-07
वर्गीकरण: सार्वजनिक जानकारी