CVE-2026-64564

Riepilogo

Nel kernel Linux, è stata risolta la seguente vulnerabilità: sctp: non liberare il transport proprio dell'ASCONF durante l'elaborazione DEL-IP sctp_process_asconf() memorizza nella cache il transport su cui viene elaborato il chunk ASCONF in asconf->transport (== chunk->transport, impostato una volta in sctp_rcv()). Per un ASCONF individuato tramite il suo Address Parameter da __sctp_rcv_asconf_lookup(), quel transport memorizzato nella cache corrisponde all'Address Parameter, che non deve necessariamente essere l'indirizzo sorgente del pacchetto. sctp_process_asconf_param() rifiuta un DEL-IP per l'indirizzo sorgente del pacchetto (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), ma nulla protegge asconf->transport. Un singolo ASCONF può quindi trasportare, in ordine: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] dove L differisce dalla sorgente. Il DEL-IP per L supera il controllo D8 e chiama sctp_assoc_rm_peer() sul transport a cui asconf->transport punta ancora, liberandolo (differito tramite RCU). Il successivo DEL-IP wildcard riutilizza quindi asconf->transport, ora dangling, in sctp_assoc_set_primary() e sctp_assoc_del_nonprimary_peers(): set_primary() dereferenzia il transport liberato (->ipaddr, ->state) e inserisce il puntatore dangling in asoc->peer.primary_path / active_path, e del_nonprimary_peers(), mantenendo solo il puntatore che non è più nella lista, rimuove ogni transport reale, lasciando l'associazione con un transport_count pari a 0 e primary_path/active_path che puntano a memoria liberata. Rifiuta un DEL-IP che ha come destinazione il transport su cui viene elaborato l'ASCONF, rispecchiando il controllo esistente sull'indirizzo sorgente, così che il ramo wildcard non possa mai riutilizzare un transport liberato.

• CVE-2026-64564PoC

  LPE su Deb