CVE-2026-74588

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: sctp: chunk->transport-u onun növbəyə alındığı siyahı ilə uyğun saxlayın __sctp_outq_flush_rtx() funksiyası gap-acked chunk-u chunk->transport-u yeniləmədən digər transportun transmitted siyahısına köçürür: if (chunk->tsn_gap_acked) { list_move_tail(&chunk->transmitted_list, &transport->transmitted); continue; } Beləliklə, chunk aktiv transportun siyahısında yerləşir, lakin chunk->transport hələ də fərqli bir transportu göstərir. Əgər həmin transport silinərsə — ASCONF Delete-IP vasitəsilə sctp_assoc_rm_peer() -> sctp_transport_free() çağırıldıqda o, RCU ilə azad edilir və chunk-da asılı göstərici (dangling pointer) qalır. sctp_assoc_rm_peer() peer->transmitted və asoc->outqueue.out_chunk_list siyahılarını təmizləyir, lakin chunk heç birində deyil. tsn_gap_acked təyin edildiyi müddətcə göstəricidən istifadə edilmir. TSN-i geri götürən SACK bu bayrağı sıfırlayır və növbəti SACK azad edilmiş transport daxilindəki aşağıdakı hissəyə çatır: tchunk->transport->flight_size -= sctp_data_size(tchunk); KASAN, sctp_assoc_rm_peer() tərəfindən azad edilmiş yaddaş sahəsində sctp_check_transmitted() funksiyasında slab-use-after-free oxuma xətasını bildirir. Həm silinmə, həm də SACK-lar assosiasiya peer-indən gəlir. Köçürmə zamanı chunk->transport təyin edilsin. Adi yenidən göndərmə yolu üçün heç nə tələb olunmur: o, öz list_move_tail() funksiyasına yalnız sctp_packet_append_chunk() SCTP_XMIT_OK qaytardıqdan sonra çatır və həmin vaxta qədər __sctp_packet_append_chunk() artıq chunk-u yenidən bağlamış olur. XBOW tərəfindən aşkar edilmiş, Baul Lee <[email protected]> tərəfindən triaj edilmişdir.