Odebrany

CVE-2026-89477

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

sctp: napraw deref NULL po nieprzesłanym zakończeniu RECONF

sctp_process_strreset_outreq(), sctp_process_strreset_addstrm_out() i
sctp_process_strreset_resp() kończy oczekującą rekonfigurację strumienia
żądanie, zatrzymując licznik czasu ponownej konfiguracji w transporcie, w którym został wysłany:

t = asoc->strreset_chunk->transport;
if (timer_delete(&t->reconf_timer))
sctp_transport_put(t);

chunk->transport jest przypisywany przez __sctp_packet_append_chunk(), gdy
fragment jest dołączany do pakietu wychodzącego, a sctp_outq_flush_ctrl() uzbraja
licznik czasu ponownej konfiguracji w tym samym momencie. Żądanie już opublikowane w
asoc->strreset_chunk, ale jeszcze nie przesłany, nie ma żadnego, więc kończę
dereferuje wartość NULL.

Dostać się tam można na dwa sposoby. zestawy sctp_send_asconf_del_ip().
asoc->src_out_of_asoc_ok bez wysyłania czegokolwiek, gdy adres jest
usunięte jest ostatnim powiązaniem, a następnie sctp_outq_flush_ctrl().
pozostawia w kolejce każdy fragment kontrolny inny niż ASCONF; jako jedyny
sctp_process_asconf_ack() usuwa tę flagę, pozostaje ona nadal. Nieuprzywilejowany
proces, który usuwa taki adres, a następnie prosi o zresetowanie strumienia
panikuje jądro z softirq. Partner nie potrzebuje ani ASCONF, ani lokalnego
pomoc: sctp_cmd_interpreter() odkorkuje kolejkę tylko raz w całości
pakiet został przetworzony, więc odpowiedź została zbudowana podczas przeglądania fragmentu RECONF
pozostaje nieprzesłany przez resztę tego spaceru i jeden fragment RECONF
przenoszenie [Przychodzące żądanie resetu SSN, Wychodzące żądanie resetu SSN,
Response] — lub dwie porcje RECONF w jednym pakiecie — osiągają ten sam wynik
wyłudzanie.

KASAN: null-ptr-deref w zakresie [0x00000000000001e8-0x00000000000001ef]
RIP: 0010:timer_delete+0x67/0x110
Zadzwoń do śledzenia:
<przerwanie>
sctp_process_strreset_addstrm_out (net/sctp/stream.c:832)
sctp_sf_do_reconf (net/sctp/sm_statefuns.c:4212)
sctp_do_sm (net/sctp/sm_sideeffect.c:1172)
sctp_assoc_bh_rcv (net/sctp/associola.c:1044)
sctp_rcv (net/sctp/input.c:243)
ip_local_deliver (net/ipv4/ip_input.c:262)
proces_backlog (net/core/dev.c:6680)
</IRQ>

Odpowiedź może jedynie potwierdzić faktycznie wysłane żądanie, więc zrób to
nie pasuje do asoc->strreset_chunk, podczas gdy fragment->transport ma wartość NULL. Strzeże
wyszukiwanie obejmuje wszystkie trzy miejsca zakończenia.

In the Linux kernel, the following vulnerability has been resolved:

sctp: fix NULL deref on untransmitted RECONF completion

sctp_process_strreset_outreq(), sctp_process_strreset_addstrm_out() and
sctp_process_strreset_resp() complete a pending stream reconfiguration
request by stopping the reconf timer on the transport it was sent on:

t = asoc->strreset_chunk->transport;
if (timer_delete(&t->reconf_timer))
sctp_transport_put(t);

chunk->transport is assigned by __sctp_packet_append_chunk() when the
chunk is appended to an outbound packet, and sctp_outq_flush_ctrl() arms
the reconf timer at that same point. A request already published in
asoc->strreset_chunk but not yet transmitted has neither, so completing
it dereferences NULL.

Two ways to get there. sctp_send_asconf_del_ip() sets
asoc->src_out_of_asoc_ok without sending anything when the address being
removed is the association's last one, and sctp_outq_flush_ctrl() then
leaves every non-ASCONF control chunk queued; as only
sctp_process_asconf_ack() clears that flag, it persists. An unprivileged
process that removes such an address and then asks for a stream reset
panics the kernel from softirq. A peer needs neither ASCONF nor local
help: sctp_cmd_interpreter() uncorks the outqueue only once the whole
packet has been processed, so a reply built while walking a RECONF chunk
stays untransmitted for the rest of that walk, and one RECONF chunk
carrying [Incoming SSN Reset Request, Outgoing SSN Reset Request,
Response] -- or two RECONF chunks in one packet -- reaches the same
dereference.

KASAN: null-ptr-deref in range [0x00000000000001e8-0x00000000000001ef]
RIP: 0010:timer_delete+0x67/0x110
Call Trace:
<IRQ>
sctp_process_strreset_addstrm_out (net/sctp/stream.c:832)
sctp_sf_do_reconf (net/sctp/sm_statefuns.c:4212)
sctp_do_sm (net/sctp/sm_sideeffect.c:1172)
sctp_assoc_bh_rcv (net/sctp/associola.c:1044)
sctp_rcv (net/sctp/input.c:243)
ip_local_deliver (net/ipv4/ip_input.c:262)
process_backlog (net/core/dev.c:6680)
</IRQ>

A response can only acknowledge a request that was actually sent, so do
not match asoc->strreset_chunk while chunk->transport is NULL. Guarding
the lookup covers all three completion sites.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve