CVE-2026-64564

Resumo

No Linux kernel, a seguinte vulnerabilidade foi resolvida: sctp: não liberar o próprio transport do ASCONF no processamento de DEL-IP sctp_process_asconf() armazena em cache o transport contra o qual o chunk ASCONF é processado em asconf->transport (== chunk->transport, definido uma vez em sctp_rcv()). Para um ASCONF localizado por meio de seu Address Parameter por __sctp_rcv_asconf_lookup(), esse transport em cache corresponde ao Address Parameter, que não precisa ser o endereço de origem do pacote. sctp_process_asconf_param() rejeita um DEL-IP para o endereço de origem do pacote (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), mas nada protege asconf->transport. Um único ASCONF pode, portanto, carregar, em ordem: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] onde L difere da origem. O DEL-IP para L passa na verificação D8 e chama sctp_assoc_rm_peer() no transport para o qual asconf->transport ainda aponta, liberando-o (adiado por RCU). O DEL-IP curinga seguinte então reutiliza o agora pendente asconf->transport em sctp_assoc_set_primary() e sctp_assoc_del_nonprimary_peers(): set_primary() desreferencia o transport liberado (->ipaddr, ->state) e insere o ponteiro pendente em asoc->peer.primary_path / active_path, e del_nonprimary_peers(), mantendo apenas o ponteiro que não está mais na lista, remove todos os transports reais, deixando a associação com um transport_count de 0 e primary_path/active_path apontando para memória liberada. Rejeite um DEL-IP que tenha como alvo o transport contra o qual o ASCONF está sendo processado, espelhando a proteção existente de endereço de origem, para que o ramo curinga nunca possa reutilizar um transport liberado.

• CVE-2026-64564PoC

  LPE no Deb