CVE-2026-52924

总结

在 Linux 内核中，已解决以下漏洞：sctp：在陈旧 COOKIE-ECHO 处理时清空发送队列 sctp_stream_update() 仅在关联在建立/重新配置期间进入 COOKIE_WAIT 状态时被调用。在此路径中，出站流调度器状态（stream->out_curr）预期是干净的，因为除非状态机已经部分推进，否则不应有用户数据被传输。然而，在 sctp_sf_do_5_2_6_stale() 中存在一个边界情况：当收到 Stale Cookie ERROR 时，关联会从 COOKIE_ECHOED 回滚到 COOKIE_WAIT。在此场景中，用户数据可能已经被排队，甚至与 COOKIE-ECHO 块捆绑在一起。在回滚期间，sctp_stream_update() 释放旧的流表并安装新的流表，但不会使 stream->out_curr 失效。因此，out_curr 可能仍指向先前流状态中已释放的 sctp_stream_out 条目。之后，SCTP 调度器出队路径（FCFS、RR、PRIO 等）依赖 stream->out_curr->ext，一旦旧流状态通过 sctp_stream_free() 被释放，就可能导致释放后使用（use-after-free）。这会导致如下崩溃（由 Yuqi 报告）： BUG: KASAN: slab-use-after-free in sctp_sched_fcfs_dequeue+0x13a/0x140 Read of size 8 at addr ff1100004d4d3208 by task mini_poc/9312 CPU: 1 UID: 1001 PID: 9312 Comm: mini_poc Not tainted 7.1.0-rc1-00305-gbd3a4795d574 #5 PREEMPT(full) sctp_sched_fcfs_dequeue+0x13a/0x140 sctp_outq_flush+0x1603/0x33e0 sctp_do_sm+0x31c9/0x5d30 sctp_assoc_bh_rcv+0x392/0x6f0 sctp_inq_push+0x1db/0x270 sctp_rcv+0x138d/0x3c10 通过在处理 Stale Cookie 情况时完全清空关联的发送队列来修复此问题。这确保所有待传输和重传状态被丢弃，并且任何调度器缓存的指针被失效，从而在 COOKIE_WAIT 重启期间安全地重建流状态。仅更新 stream->out_curr 是不够的，因为已排队和可重传的数据仍会引用旧流状态，并在出队路径中触发后续的释放后使用。

• CVE-2026-52924研究

  CVE-2026-52924 的技术分析，这是 Linux 内核 SCTP 陈旧 cookie 处理中的一个严重释放后使用漏洞，包括根本原因、攻击流程、修复方案及检测方法。