CVE-2026-64564

Резюме

В ядре Linux устранена следующая уязвимость: sctp: не освобождать собственный транспорт ASCONF при обработке DEL-IP Функция sctp_process_asconf() кэширует транспорт, для которого обрабатывается блок ASCONF, в asconf->transport (== chunk->transport, устанавливается один раз в sctp_rcv()). Для ASCONF, найденного через его Address Parameter функцией __sctp_rcv_asconf_lookup(), этот кэшированный транспорт соответствует Address Parameter, который не обязательно является адресом источника пакета. Функция sctp_process_asconf_param() отклоняет DEL-IP для адреса источника пакета (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), но ничто не защищает asconf->transport. Один ASCONF может, таким образом, содержать по порядку: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0], где L отличается от источника. DEL-IP для L проходит проверку D8 и вызывает sctp_assoc_rm_peer() для транспорта, на который всё ещё указывает asconf->transport, освобождая его (с отложенным RCU). Последующий групповой DEL-IP затем повторно использует теперь уже висячий asconf->transport в sctp_assoc_set_primary() и sctp_assoc_del_nonprimary_peers(): set_primary() разыменовывает освобождённый транспорт (->ipaddr, ->state) и помещает висячий указатель в asoc->peer.primary_path / active_path, а del_nonprimary_peers(), сохраняя только указатель, которого больше нет в списке, удаляет все реальные транспорты, оставляя ассоциацию с transport_count, равным 0, и primary_path/active_path, указывающими на освобождённую память. Отклоняйте DEL-IP, нацеленный на транспорт, для которого обрабатывается ASCONF, зеркально отражая существующую защиту по адресу источника, чтобы ветвь с групповым адресом никогда не могла повторно использовать освобождённый транспорт.

• CVE-2026-64564PoC

  LPE на Deb