CVE-2026-52924：SCTP 陈旧 Cookie 处理中的释放后使用漏洞

漏洞摘要

CVE ID： CVE-2026-52924
严重性： 严重（CVSS 9.8）
组件： Linux 内核 - SCTP（流控制传输协议）
类型： 释放后使用（CWE-416、CWE-825）
发布时间： 2026-06-24
状态： 已修复

受影响版本

• Linux 内核 < 5.10.259
• Linux 内核 < 5.15.210
• Linux 内核 < 6.1.176
• Linux 内核 < 6.6.143
• Linux 内核 < 6.12.94
• Linux 内核 < 6.18.36
• Linux 内核 < 7.0.13
• Linux 内核 < 7.1

技术细节

根本原因

该漏洞发生在 SCTP 状态机处理陈旧 COOKIE-ECHO 数据包的过程中。问题在于当关联回滚时，出站流队列未得到正确清理。

攻击流程

1. 正常操作： 关联进入 COOKIE_ECHOED 状态
2. 用户数据入队： 应用程序发送数据，数据被排队等待传输
3. 陈旧 Cookie 错误： 远程对端发送陈旧 Cookie 错误
4. 触发回滚： 关联从 COOKIE_ECHOED 回滚至 COOKIE_WAIT
5. 流状态更新： sctp_stream_update() 释放旧流表，安装新流表
6. 无效指针： stream->out_curr 仍指向已释放的 sctp_stream_out 条目
7. 出队访问： 当调度器尝试出队（FCFS、RR、PRIO）时，访问 out_curr->ext
8. 释放后使用： 访问已释放内存 → 通过 KASAN 检测导致内核崩溃

问题代码流程

sctp_sf_do_5_2_6_stale()：
  ├─ 接收陈旧 Cookie 错误
  ├─ 回滚关联状态
  └─ 调用 sctp_stream_update()
       ├─ 释放旧流表
       ├─ 安装新流表
       └─ 缺陷：stream->out_curr 未被失效 ❌

稍后出队时：
  sctp_sched_fcfs_dequeue()：
    └─ 访问 stream->out_curr->ext（已释放内存）💥

崩溃示例

BUG: KASAN: slab-use-after-free in sctp_sched_fcfs_dequeue+0x13a/0x140
Read of size 8 at addr ff1100004d4d3208 by task mini_poc/9312
CPU: 1 UID: 1001 PID: 9312 Comm: mini_poc Not tainted 7.1.0-rc1-00305-gbd3a4795d574 #5 PREEMPT(full)

Call trace:
  sctp_sched_fcfs_dequeue+0x13a/0x140
  sctp_outq_flush+0x1603/0x33e0
  sctp_do_sm+0x31c9/0x5d30
  sctp_assoc_bh_rcv+0x392/0x6f0
  sctp_inq_push+0x1db/0x270
  sctp_rcv+0x138d/0x3c10

为何仅更新 out_curr 不够

一种简单的修复方式可能只是清除 stream->out_curr：

// 不充分的修复 ❌
stream->out_curr = NULL;

问题： 出站队列仍包含：

• 引用旧流状态的排队数据块
• 指向旧流的重传队列条目
• 捆绑旧流元数据的控制块

这些陈旧引用在被访问时仍会导致释放后使用。

正确修复

解决方案： 在陈旧 Cookie 处理期间完全清除关联的出站队列。

// 正确修复 ✓
sctp_outq_free(&asoc->outqueue);

这确保：

1. 所有待传输数据被丢弃
2. 所有重传队列条目被释放
3. 调度器缓存指针（out_curr 等）被失效
4. 在 COOKIE_WAIT 重启期间可安全重建流状态
5. 不存在指向已释放流条目的悬空引用

实现位置

文件： net/sctp/sm_statefuns.c
函数： sctp_sf_do_5_2_6_stale()
新增内容： 在 sctp_stream_update() 之前调用 sctp_outq_free(&asoc->outqueue)

enum sctp_disposition sctp_sf_do_5_2_6_stale(...)
{
    // ... 现有代码 ...
    
    // 在重建流状态之前清除出站队列
    sctp_outq_free(&asoc->outqueue);
    
    // 现在可以安全更新流
    sctp_stream_update(&asoc->stream, &asoc->c.h_init_tag);
    
    // ... 函数其余部分 ...
}

影响分析

严重性因素（CVSS 9.8）

• 攻击向量： 网络（CVSS:3.1/AV:N）
• 攻击复杂度： 低（CVSS:3.1/AC:L）
• 所需权限： 无（CVSS:3.1/PR:N）
• 用户交互： 无（CVSS:3.1/UI:N）
• 影响范围： 不变（CVSS:3.1/S:U）
• 机密性影响： 高（CVSS:3.1/C:H）
• 完整性影响： 高（CVSS:3.1/I:H）
• 可用性影响： 高（CVSS:3.1/A:H）

利用条件

1. 可访问目标系统的网络（SCTP 端口开放）
2. 能够发送 SCTP 数据包以建立连接
3. 在特定时机（COOKIE_ECHOED 状态）发送陈旧 Cookie 错误
4. 触发调度器出队操作

攻击场景

1. 拒绝服务： 反复使内核崩溃 → DoS
2. 信息泄露： 通过 UAF 读取内核内存
3. 权限提升： 可能通过内存操纵实现
4. 远程代码执行： 可能通过内存破坏漏洞利用实现

检测方法

KASAN 检测（运行时）

# 在内核配置中启用 KASAN
CONFIG_KASAN=y
CONFIG_KASAN_GENERIC=y

# 运行时输出显示：
BUG: KASAN: slab-use-after-free

静态分析

# 查找未经验证的不安全 stream->out_curr 访问
grep -r "out_curr->ext" net/sctp/
grep -r "out_curr->" net/sctp/sched*.c

网络检测

• 监控 SCTP 陈旧 Cookie ERROR 数据包（类型 3，代码 1）
• 跟踪连接回滚模式
• 对快速 COOKIE_ECHOED → COOKIE_WAIT 转换发出警报

缓解策略

临时缓解措施（直至修补）

1. 禁用 SCTP： 移除 SCTP 模块或阻止 SCTP 端口（132、132 UDP）

   root@kitploit:~

   echo "install sctp /bin/true" >> /etc/modprobe.d/sctp-disable.conf
   

2. 防火墙规则： 在网络边界阻止 SCTP 流量

   root@kitploit:~

   iptables -A INPUT -p sctp -j DROP
   

3. 内核版本： 升级至已修补版本

   • 5.10.259+
   • 5.15.210+
   • 6.1.176+
   • 6.6.143+
   • 6.12.94+
   • 6.18.36+
   • 7.0.13+
   • 7.1+（最新）

永久修复

应用在 sctp_sf_do_5_2_6_stale() 中调用 sctp_outq_free() 的内核补丁。

参考资料

• CWE-416： 释放后使用
• CWE-825： 过期指针解引用
• CVSS 计算器： https://www.first.org/cvss/calculator/3.1
• NVD 条目： CVE-2026-52924
• Linux 内核安全： https://www.kernel.org/doc/html/latest/security/

测试建议

单元测试

1. 验证 sctp_outq_free() 能正确使 out_curr 失效
2. 验证 outq_free 期间所有排队数据均被释放
3. 验证重传队列被清除
4. 测试出站队列清除后的调度器行为

集成测试

1. 正常的陈旧 Cookie 恢复流程
2. 收到陈旧 Cookie 时有在途数据
3. 多个快速连续的陈旧 Cookie
4. 不同的 SCTP 调度器（FCFS、RR、PRIO）

模糊测试

1. 发送带有陈旧 Cookie 错误的 SCTP 数据包
2. 改变错误注入的时机
3. 改变在途数据量
4. 在高负载条件下测试

时间线

• 2026-06-24： 漏洞公开披露
• 状态： 修复可用
• EPSS 评分： 0.3%（第 27 百分位）
  • 利用概率低
  • 需要特定网络条件
  • 索引到的真实世界漏洞利用有限

作者： Elliot 文档版本： 1.0
最后更新： 2026-09-07
分类： 公开信息