Odebrany

CVE-2026-98548

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

sctp: odrzuć resztę pakietu w przypadku błędu nieaktualnego pliku cookie

Kiedy skojarzenie jest w stanie COOKIE-ECHOED i peer wysyła wiadomość
dołączony pakiet [ERROR(Stale Cookie)][DATA] z jednego z pakietów innych niż podstawowe
adresów, przetwarzanie fragmentu ERROR wymaga niekrytycznego przestarzałego pliku cookie
spróbuj ponownie ścieżki sctp_sf_do_5_2_6_stale(), która kolejkuje
SCTP_CMD_DEL_NON_PRIMARY, utrzymując skojarzenie przy życiu.
sctp_cmd_del_non_primary() usuwa każdy transport inny niż podstawowy -
łącznie z transportem, którym przybył ten pakiet, a który nadal trwa
do którego odwołuje się wyszukiwanie odbierające i współdzielone przez wszystkie fragmenty pliku
pakiet przez fragment->transport.

sctp_assoc_rm_peer() przekierowuje asoc->peer.last_data_from z dala od
usunięty transport, ale zaraz potem dołączony fragment DATA
powoduje ponowną rejestrację sctp_assoc_bh_rcv().
asoc->peer.last_data_from = chunk->transport bezwarunkowy, cofanie
przekierowanie z właśnie usuniętym transportem.

Po zakończeniu pakietu odniesienie do odbioru jest odrzucane, a plik
transport jest wolny od RCU, podczas gdy stowarzyszenie, które przeżyło, zachowuje
wiszące last_data_from. Późniejszy FWD-TSN (lub opóźniony timer SACK)
sprawia, że sctp_gen_sack() wyłudza to (->param_flags i przyjaciele), i
sctp_make_sack()/sctp_outq_select_transport() może pisać do uwolnionego
obiekt i połącz go z aktualną listą transportu. To jest
użycie po zwolnieniu wyzwalane przez dowolnego złośliwego partnera SCTP (lub lokalnego
nieuprzywilejowany użytkownik działający jako jeden) bez wymaganych uprawnień:

BŁĄD: KASAN: użycie płyty po zwolnieniu w sctp_do_sm+0x498a/0x5660
Odczytaj rozmiar 4 pod adresem ffff88800e1e356c w zadaniu poc/115
Śledzenie połączenia: sctp_do_sm <- sctp_assoc_bh_rcv <- sctp_inq_push <-
sctp_rcv <- ip_protocol_deliver_rcu <- ip_rcv
Przydzielone: sctp_transport_new <- sctp_assoc_add_peer <-
sctp_process_init (przetwarzanie INIT-ACK)
Uwolniono: kfree <- sctp_transport_destroy_rcu <- rcu_core
(call_rcu ustawiony w kolejce przez sctp_transport_put na końcu sctp_rcv)
Błędny adres znajduje się 364 bajtów w zwolnionym 1024 bajcie
region [ffff88800e1e3400, ffff88800e1e3800), pamięć podręczna kmalloc-1k

Zauważ, że zatwierdzono 03a9d10ecf71 („sctp: upuść fragment, jeśli jest transport
został usunięty”) obejmuje jedynie okno pomiędzy wyszukiwaniem odbioru i
przetwarzanie fragmentów (np. ASCONF DEL-IP przeglądający zaległości w gniazdach);
tutaj transport jest usuwany *podczas* przetwarzania pakietu,
przez wcześniejszy fragment tego samego pakietu, więc spadek funkcji sctp_inq_push()
nie dociera do tej ścieżki. Zweryfikowano za pomocą dołączonego pliku [ERROR(Stale
Cookie) [DATA] + reproduktor FWD-TSN: powyższy raport KASAN nadal
uruchamia się po zastosowaniu tego zatwierdzenia i znika wraz z tą łatką na górze.

Napraw to, odrzucając resztę pakietu na tej ścieżce, zgodnie z sugestią
przez Xina. Po tym, jak BŁĄD nieaktualnego pliku cookie odesłał skojarzenie z powrotem do
COOKIE-WAIT i usunąłem pozostałe transporty inne niż podstawowe
fragmenty pakietu mogą działać tylko w przypadku ponownego uruchomienia uzgadniania
odnosząc się do usuniętego transportu przylotowego
chunk->transport: oprócz powyższej rejestracji last_data_from,
sctp_cmd_setup_t2() i narzędzia do tworzenia odpowiedzi sctp_make_*() również by to zrobiły
skopiuj ten wskaźnik do stanu skojarzenia na całe życie
sctp_assoc_rm_peer() została już oczyszczona. Pozwól partnerowi na retransmisję
je, zgodnie z tym, co sctp_inq_push() robi dla fragmentów, których
transport został usunięty przed przetworzeniem.

In the Linux kernel, the following vulnerability has been resolved:

sctp: discard the rest of the packet on a stale-cookie error

When an association is in COOKIE-ECHOED state and the peer sends a
bundled [ERROR(Stale Cookie)][DATA] packet from one of its non-primary
addresses, processing the ERROR chunk takes the non-fatal stale-cookie
retry path sctp_sf_do_5_2_6_stale(), which queues
SCTP_CMD_DEL_NON_PRIMARY while keeping the association alive.
sctp_cmd_del_non_primary() removes every non-primary transport -
including the very transport this packet arrived on, which is still
referenced by the receive lookup and shared by all chunks of the
packet via chunk->transport.

sctp_assoc_rm_peer() does redirect asoc->peer.last_data_from away from
the removed transport, but right afterwards the bundled DATA chunk
makes sctp_assoc_bh_rcv() re-register
asoc->peer.last_data_from = chunk->transport unconditionally, undoing
the redirection with the just-removed transport.

Once the packet is done, the receive reference is dropped and the
transport is RCU-freed, while the surviving association keeps the
dangling last_data_from. A later FWD-TSN (or the delayed SACK timer)
makes sctp_gen_sack() dereference it (->param_flags and friends), and
sctp_make_sack()/sctp_outq_select_transport() may write to the freed
object and link it into the live transport list. This is a
use-after-free triggerable by any malicious SCTP peer (or a local
unprivileged user acting as one) with no capabilities required:

BUG: KASAN: slab-use-after-free in sctp_do_sm+0x498a/0x5660
Read of size 4 at addr ffff88800e1e356c by task poc/115
Call Trace: sctp_do_sm <- sctp_assoc_bh_rcv <- sctp_inq_push <-
sctp_rcv <- ip_protocol_deliver_rcu <- ip_rcv
Allocated: sctp_transport_new <- sctp_assoc_add_peer <-
sctp_process_init (INIT-ACK processing)
Freed: kfree <- sctp_transport_destroy_rcu <- rcu_core
(call_rcu queued by sctp_transport_put at end of sctp_rcv)
The buggy address is located 364 bytes inside of freed 1024-byte
region [ffff88800e1e3400, ffff88800e1e3800), cache kmalloc-1k

Note that commit 03a9d10ecf71 ("sctp: drop a chunk if its transport
was removed") only covers the window between the receive lookup and
the chunk processing (e.g. an ASCONF DEL-IP racing the socket backlog);
here the transport is removed *while* the packet is being processed,
by an earlier chunk of the same packet, so the drop in sctp_inq_push()
does not reach this path. Verified with the bundled [ERROR(Stale
Cookie)][DATA] + FWD-TSN reproducer: the KASAN report above still
fires with that commit applied, and is gone with this patch on top.

Fix it by discarding the rest of the packet on this path, as suggested
by Xin. After the stale-cookie ERROR has sent the association back to
COOKIE-WAIT and removed the non-primary transports, the remaining
chunks of the packet can only run against the restarted handshake
while referencing the removed arrival transport through
chunk->transport: besides the last_data_from registration above,
sctp_cmd_setup_t2() and the sctp_make_*() reply builders would also
copy that pointer into association-lifetime state that
sctp_assoc_rm_peer() has already sanitized. Let the peer retransmit
them, in line with what sctp_inq_push() does for chunks whose
transport was removed before processing.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve