CVE-2026-46227

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: sctp: SCTP_SENDALL içindeki sctp_sendmsg_to_asoc() sonrası liste imleci yeniden doğrulanıyor sctp_sendmsg() içerisindeki SCTP_SENDALL yolu, döngü gövdesi çalışmadan önce bir sonraki girdiyi @tmp değişkeninde önbelleğe alan list_for_each_entry_safe() ile ep->asocs üzerinde yineleme yapar. Gövde, sctp_wait_for_sndbuf() içinde soket kilidini bırakabilen sctp_sendmsg_to_asoc() fonksiyonunu çağırır. Kilit bırakıldığında, başka bir iş parçacığı @tmp içinde önbelleğe alınan ilişkilendirmeyi SCTP_SOCKOPT_PEELOFF yapabilir ve bunu sctp_sock_migrate() aracılığıyla yeni bir uç noktaya taşıyabilir (newep->asocs kısmına list_del_init() + list_add_tail()), ardından isteğe bağlı olarak yeni soketi kapatarak ilişkilendirmeyi kfree_rcu() üzerinden serbest bırakabilir. Önbelleğe alınan @tmp, kilit bırakılmışken softirq sırasında işlenen ağ kaynaklı bir ABORT işlemiyle de serbest bırakılabilir. sctp_wait_for_sndbuf(), yeniden kilitleme sırasında "sk != asoc->base.sk" ve "asoc->base.dead" kontrolleri aracılığıyla @asoc'yi (güncel girdi) yeniden doğrular ancak hiçbir şey @tmp'yi yeniden doğrulamaz. Başarılı bir dönüşten sonra, yineleyici bayatlamış olan @tmp'ye ilerler; bu durum ya bir serbest bırakıldıktan sonra kullanım (peeled soket kapatılmışsa) ya da yeni uç noktanın liste başına doğru bir liste yürütme işlemine (&newep->asocs ifadesinin struct sctp_association * olarak tür karmaşası yaşaması) yol açar. Her iki duruma da CapEff=0 üzerinden erişilebilir; tür karmaşası yolu, outqueue.sched->init_sid işaretçisi aracılığıyla kontrollü dolaylı çağrı sağlar. Hata, sctp_sendmsg_to_asoc() döndükten sonra @tmp değerinin @asoc üzerinden yeniden türetilmesiyle düzeltilmiştir. Bu noktada @asoc'nin hala ep->asocs üzerinde olduğu bilinmektedir: Bir ilişkilendirmeyi ep->asocs listesinden list_del yapan tek çağrıcılar sctp_association_free() (asoc->base.dead değerini ayarlar) ve sctp_assoc_migrate() (asoc->base.sk değerini değiştirir) fonksiyonlarıdır ve sctp_wait_for_sndbuf() herhangi bir başarılı dönüşten önce kilit altında her ikisini de kontrol eder; başarısız bir kontrol err < 0 olarak yayılır ve döngü yeniden türetme gerçekleşmeden önce sonlanır. sctp_sendmsg_check_sflags() içerisindeki SCTP_ABORT yolu 0 döndürür ve sctp_sendmsg_to_asoc() hiç çağrılmadan döngü 'continue' aşamasına geçer, böylece list_for_each_entry_safe() tarafından önbelleğe alınan @tmp, ba59fb027307 ("sctp: walk the list of asoc safely") yamasının eklendiği kilit tutulurken gerçekleşen serbest bırakma işlemini hala kapsar.