CVE-2026-64564

요약

Linux 커널에서 다음 취약점이 해결되었습니다: sctp: DEL-IP 처리 중 ASCONF 자체 전송(transport)을 해제하지 않음 sctp_process_asconf()는 ASCONF 청크가 처리되는 전송(transport)을 asconf->transport(== chunk->transport, sctp_rcv()에서 한 번 설정됨)에 캐시합니다. __sctp_rcv_asconf_lookup()의 Address Parameter를 통해 찾은 ASCONF의 경우, 해당 캐시된 전송은 Address Parameter에 해당하며, 이는 패킷의 소스 주소일 필요가 없습니다. sctp_process_asconf_param()은 패킷 소스 주소에 대한 DEL-IP를 거부하지만(ADDIP D8, SCTP_ERROR_DEL_SRC_IP), asconf->transport를 보호하지는 않습니다. 따라서 단일 ASCONF는 순서대로 다음을 포함할 수 있습니다: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] 여기서 L은 소스와 다릅니다. L에 대한 DEL-IP는 D8 검사를 통과하고 asconf->transport가 여전히 가리키는 전송에 대해 sctp_assoc_rm_peer()를 호출하여 이를 해제합니다(RCU 지연). 그 다음의 와일드카드 DEL-IP는 sctp_assoc_set_primary() 및 sctp_assoc_del_nonprimary_peers()에서 이제 댕글링(dangling) 상태인 asconf->transport를 재사용합니다: set_primary()는 해제된 전송(->ipaddr, ->state)을 역참조하고 댕글링 포인터를 asoc->peer.primary_path / active_path에 심으며, del_nonprimary_peers()는 더 이상 목록에 없는 포인터만 유지한 채 모든 실제 전송을 제거하여, transport_count가 0이고 primary_path/active_path가 해제된 메모리를 가리키는 연결(association)을 남깁니다. ASCONF가 처리 대상으로 하는 전송을 겨냥한 DEL-IP를 거부하여 기존 소스 주소 가드를 반영하면, 와일드카드 분기가 해제된 전송을 재사용할 수 없게 됩니다.

• CVE-2026-64564PoC

  LPE on Deb