CVE-2026-74586

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: sctp: peer silinərkən new_transport təmizlənsin sctp_process_asconf_param() yeni əlavə edilmiş peer transportunu asoc->new_transport-da saxlayır. ASCONF chunk-ındakı bütün parametrlər emal edildikdən sonra, sctp_sf_do_asconf() bu göstəricidən istifadə edərək yeni transportuna HEARTBEAT göndərir. Uzaqdakı SCTP peer-indən gələn autentifikasiya olunmuş ASCONF, eyni chunk daxilində həm transport əlavə edə, həm də wildcard DEL-IP parametri ilə onu yenidən silə bilər. Wildcard silmə əməliyyatı ASCONF-un gəldiyi transportu saxlayır, lakin sctp_assoc_del_nonprimary_peers() vasitəsilə yeni əlavə edilmiş transportu silir. Silmə prosesi asoc->new_transport-u təmizləmir və o, silinmiş transporta işarə etməyə davam edir. Daha sonra sctp_sf_do_asconf(), chunk->transport hissəsi transport referansını saxlamadan silinmiş transporta işarə edən bir HEARTBEAT yaradır. Lokal ünvanın əvəzlənməsi zamanı src_out_of_asoc_ok bu HEARTBEAT-i control_chunk_list-də saxlayır. Transport RCU tərəfindən azad edildikdən sonra, əvəzləyici ünvan üçün uğurlu ASCONF_ACK növbədə gözləyən HEARTBEAT-i buraxır və sctp_outq_select_transport() azad edilmiş transportun vəziyyətini oxuyur. Problem SCTP obyektlərinin statik auditi zamanı aşkar edilmişdir. Autentifikasiya olunmuş peer ilə, reproducer KASAN aktiv olan netdev/main kernel-də yamaqsız iki yürüşün hər ikisində eyni KASAN hesabatını tetikləmişdir: BUG: KASAN: slab-use-after-free in sctp_outq_select_transport Read of size 4 at addr ffff88800b9bd95c by task python3/197 Call Trace: sctp_outq_select_transport+0x549/0x8b0 [sctp] sctp_outq_flush+0x306/0x2c60 [sctp] sctp_transport_immediate_rtx+0xaf/0x260 [sctp] sctp_process_asconf_ack+0xa48/0xf70 [sctp] Allocated by task 197: sctp_transport_new+0x68/0x650 [sctp] sctp_assoc_add_peer+0x258/0x12a0 [sctp] sctp_process_asconf+0x5e9/0x1090 [sctp] Last potentially related work creation: __call_rcu_common.constprop.0+0x77/0xb70 sctp_assoc_del_nonprimary_peers+0x7c/0xd0 [sctp] sctp_process_asconf+0xd9c/0x1090 [sctp] İlk yanlış giriş net/sctp/outqueue.c:833 faylında transport->state-in dörd baytlıq oxunması idi. Eyni reproducer bu dəyişiklikdən sonra tam autentifikasiya olunmuş ASCONF və lokal ünvan əvəzləmə ardıcıllığını KASAN hesabatı və ya oops olmadan tamamladı. HEARTBEAT yaratmaq üçün istifadə edilməzdən əvvəl, peer silindikdə new_transport təmizlənsin.