CVE-2026-89479

W jądrze Linuksa usunięto następującą lukę:

sctp: zatrzymuje przetwarzanie pakietu po usunięciu jego powiązania

sctp_endpoint_bh_rcv() sprawdza powiązanie tylko wtedy, gdy chunk->asoc jest
NULL i buforuje wynik w fragmentach->asoc i fragment->transport bez
biorąc referencje.

Pakiet, który nie pasuje do żadnego powiązania, jest przekazywany do punktu końcowego, a więc do partnera
może połączyć COOKIE ECHO, SHUTDOWN i SHUTDOWN ACK w jednym pakiecie. The
COOKIE ECHO tworzy powiązanie, fragment SHUTDOWN buforuje je i
przy pustej kolejce wyjściowej POTWIERDZENIE WYŁĄCZENIA osiąga funkcję sctp_sf_do_9_2_final(),
w ten sposób stowarzyszenie i jego transporty zostaną uwolnione.

Pętla punktu końcowego nie ma odpowiednika dla odprawy asoc->base.dead
sctp_assoc_bh_rcv(). Następny fragment zapisuje do last_time_heard w pliku freed
transport, a następnie jest przekazywany do sctp_do_sm() ze zwolnionym powiązaniem.
Transport jest zwalniany przez RCU, więc pakiet musi zostać odłączony
zaległości gniazda, w których pętla działa w kontekście zadania.

Pętla punktu końcowego nie może wykonać tego samego sprawdzenia: nie zawiera żadnego odniesienia do pliku
skojarzenie, więc przeczytanie asoc->base.dead samo w sobie byłoby darmowym użyciem.
Zaznacz pakiet do odrzucenia w interpreterze poleceń, tuż przed nim
usuwa skojarzenie. Dzieje się tak również zanim sctp_inq_free() wypuści funkcję
fragment na ścieżce odbioru skojarzenia.

sctp_sf_do_5_2_4_dupcook() wystawia SCTP_CMD_DELETE_TCB dla tymczasowego
skojarzenie, podczas gdy to, do którego należy pakiet, pozostaje przy życiu. Ponowne uruchomienie
peer może łączyć DANE za swoim COOKIE ECHO, więc porównaj
chunk->asoc i zostaw tę skrzynkę w spokoju.