CVE-2026-64551

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: —
CWE: —
KEV Durumu: Hayır

Yayım tarihi: 27 Temmuz 2026

Linux çekirdeğinde aşağıdaki güvenlik açığı çözülmüştür: sctp: STALE_COOKIE nedeni uzunluğunu okuma öncesi doğrulama COOKIE_ECHOED durumunda bir STALE_COOKIE nedeni ile bir HATA parçası alındığında, sctp_sf_do_5_2_6_stale() fonksiyonu neden başlığının ardından gelen 4 baytlık Eskitme Ölçüsünü okur: err = (struct sctp_errhdr *)(chunk->skb->data); stale = ntohl(*(__be32 *)((u8 *)err + sizeof(*err))); err, parçadaki ilk neden olup, iletimi tetikleyen STALE_COOKIE nedeni değildir ve staleness alanının mevcut olduğu garantisi yoktur. sctp_walk_errors() fonksiyonu yalnızca bir nedenin 4 baytlık başlıktan uzun olması gerektiğini gerektirir, bu nedenle 4 bayt uzunluğundaki bir STALE_COOKIE nedeni için okuma nedeni geçer ve minimal bir HATA parçası için skb->tail geçer. Değer, yanıt INIT'in Çerez Koruyucu bölümünde eşlenerek başlatılmamış bellek sızdırılır. sctp_sf_cookie_echoed_err() fonksiyonu zaten STALE_COOKIE nedenine gider, bu nedenle uzunluğunu orada kontrol edin ve sctp_sf_do_5_2_6_stale() fonksiyonuna iletin, bu fonksiyon ilk neden yerine bu nedeni okur. Staleness alanını tutmak için yeterli uzunlukta olmayan bir STALE_COOKIE nedeni atılır. Okuma, COOKIE_ECHOED durumuna bir derneği sürdürebilen herhangi bir eş tarafından erişilebilir, bu da bir kullanıcı ve ağ ad alanı中的 ham SCTP soketi kullanan yetkisiz bir işlem dahil olmak üzere RCE saldırılarına açık bir zafiyet oluşturur.

Orijinal açıklama (İngilizce)

In the Linux kernel, the following vulnerability has been resolved: sctp: validate STALE_COOKIE cause length before reading staleness When an ERROR chunk with a STALE_COOKIE cause is received in the COOKIE_ECHOED state, sctp_sf_do_5_2_6_stale() reads the 4-byte Measure of Staleness that follows the cause header: err = (struct sctp_errhdr *)(chunk->skb->data); stale = ntohl(*(__be32 *)((u8 *)err + sizeof(*err))); err is the first cause in the chunk, not the STALE_COOKIE cause that caused the dispatch, and nothing guarantees the staleness field is present. sctp_walk_errors() only requires a cause to be as long as the 4-byte header, so for a STALE_COOKIE cause of length 4 the read runs past the cause, and for a minimal ERROR chunk past skb->tail. The value is echoed to the peer in the Cookie Preservative of the reply INIT, leaking uninitialized memory. sctp_sf_cookie_echoed_err() already walks to the STALE_COOKIE cause, so check its length there and pass it to sctp_sf_do_5_2_6_stale(), which reads that cause instead of the first one. A STALE_COOKIE cause too short to hold the staleness field is discarded. The read is reachable by any peer that can drive an association into COOKIE_ECHOED, including an unprivileged process using a raw SCTP socket in a user and network namespace.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.