Odebrany

CVE-2026-98123

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

sctp: naprawiono miękkie blokowanie z nieuzupełnionej iteracji parametrów ASCONF-ACK

sctp_verify_asconf() przegląda parametry ASCONF-ACK
sctp_walk_params(), która przesuwa się o SCTP_PAD4(długość), podczas gdy
konsument sctp_get_asconf_response() iteruje te same parametry
zaawansowana na długość surową, bez wyściółki. Pojedyncza nieparzysta długość
parametr desynchronizuje oba przejścia i powoduje, że konsument jest konsumentem
interpretować bajty kontrolowane przez atakującego z źle ustawionym przesunięciem.

Kiedy te bajty dają długość zerową, pętla while się kończy
asconf_ack_len nie robi żadnego postępu, wiruje w nieskończoność w softirq
kontekście, a watchdog zgłasza miękkie zawieszenie. Wszystkie przeczytane pozostają
w odebranym skb, więc zablokowanie jest czystą zdalną odmową
obsługa. Zdalny uczestnik może go uruchomić za pomocą spreparowanego włączonego ASCONF-ACK
skojarzenie z obsługą ADD-IP z wyjątkowym protokołem ASCONF (RFC 5061
sekcja 4.1.2 wymaga uwierzytelnienia fragmentu, ale plik
predefiniowany pusty identyfikator klucza 0 umożliwia partnerowi obliczenie tego samego
skojarzenie HMAC z publicznie wymienianych parametrów, więc brama
nie pomaga).

Przypadek SCTP_PARAM_ERR_CAUSE funkcji sctp_verify_asconf() również działa
bez sprawdzania długości, pozwalając na parametr bez całkowitego błędu
nagłówek dociera do konsumenta, który na końcu czyta errdr.cause
parametr, odczyt poza zakresem.

Odrzuć parametry SCTP_PARAM_ERR_CAUSE krótsze niż
sizeof(struct sctp_addip_param) + sizeof(struct sctp_errhdr) w
weryfikatora i rozwijaj iterator konsumencki z tym samym wypełnieniem
rządzić jako weryfikator, aby utrzymać oba spacery w równym stopniu. Weryfikator
zmiana gwarantuje pełny nagłówek błędu w każdym ERR_CAUSE
parametr, który konsument może zobaczyć, więc parametr asconf_ack_len
check zostaje usunięty i bezpośrednio zwraca err_param->cause. The
poprawka dopełnienia konsumenckiego jest nadal wymagana, ponieważ pozostają nieparzyste długości
ważne dla SCTP_PARAM_ERR_CAUSE zgodnie z RFC 5061.

Problem został odkryty przez ZeroHive, agenta poszukującego luk w zabezpieczeniach pod adresem
Laboratorium Tencent Yunding.

In the Linux kernel, the following vulnerability has been resolved:

sctp: fix soft lockup from unpadded ASCONF-ACK parameter iteration

sctp_verify_asconf() walks ASCONF-ACK parameters with
sctp_walk_params(), which advances by SCTP_PAD4(length), while the
consumer sctp_get_asconf_response() iterates the same parameters
advancing by the raw length, without padding. A single odd-length
parameter desynchronises the two walks and makes the consumer
interpret attacker-controlled bytes at a misaligned offset.

When those bytes yield a length of zero, the while loop over
asconf_ack_len makes no progress, spinning forever in softirq
context, and the watchdog reports a soft lockup. All reads stay
within the received skb, so the lockup is a pure remote denial of
service. A remote peer can trigger it with a crafted ASCONF-ACK on
an ADD-IP enabled association with an outstanding ASCONF (RFC 5061
section 4.1.2 requires the chunk to be authenticated, but the
predefined empty key id 0 allows the peer to compute the same
association HMAC from publicly exchanged parameters, so the gate
does not help).

The SCTP_PARAM_ERR_CAUSE case of sctp_verify_asconf() also performs
no length check, letting a parameter without a complete error
header reach the consumer, which reads errhdr.cause past the end of
the parameter, an out-of-bounds read.

Reject SCTP_PARAM_ERR_CAUSE parameters shorter than
sizeof(struct sctp_addip_param) + sizeof(struct sctp_errhdr) at the
verifier, and advance the consumer iterator with the same padding
rule as the verifier to keep the two walks in lockstep. The verifier
change guarantees a complete error header in every ERR_CAUSE
parameter the consumer can see, so the consumer's asconf_ack_len
check is dropped and it returns err_param->cause directly. The
consumer padding fix is still required because odd lengths remain
valid for SCTP_PARAM_ERR_CAUSE per RFC 5061.

The issue was found by ZeroHive, a vulnerability hunting agent at
Tencent Yunding Lab.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve