CVE-2026-52924

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: sctp: bayat COOKIE-ECHO işlemede çıkış kuyruğunun temizlenmesi sctp_stream_update(), yalnızca ilişkilendirme kurulumu/yeniden yapılandırması sırasında ilişkilendirme COOKIE_WAIT durumuna taşındığında çağrılır. Bu yolda, durum makinesi halihazırda kısmen ilerlemediği sürece henüz hiçbir kullanıcı verisinin iletilmemiş olması gerektiğinden, giden akış zamanlayıcı durumunun (stream->out_curr) temiz olması beklenir. Ancak, sctp_sf_do_5_2_6_stale() fonksiyonunda uç bir durum mevcuttur: Bayat Çerez (Stale Cookie) HATASI alındığında, ilişkilendirme COOKIE_ECHOED durumundan COOKIE_WAIT durumuna geri döndürülür. Bu senaryoda, kullanıcı verileri çoktan kuyruğa alınmış ve hatta COOKIE-ECHO parçasıyla paketlenmiş olabilir. Geri alma işlemi sırasında sctp_stream_update() eski akış tablosunu serbest bırakır ve yenisini kurar, ancak stream->out_curr değerini geçersiz kılmaz. Sonuç olarak, out_curr hala önceki akış durumundan serbest bırakılmış bir sctp_stream_out girdisine işaret ediyor olabilir. Daha sonra, SCTP zamanlayıcı kuyruktan çıkarma yolları (FCFS, RR, PRIO vb.), stream->out_curr->ext değerine güvenir; bu da eski akış durumu sctp_stream_free() aracılığıyla serbest bırakıldıktan sonra serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açabilir. Bu durum, (Yuqi tarafından bildirilen) şu çökmelere neden olur: BUG: KASAN: slab-use-after-free in sctp_sched_fcfs_dequeue+0x13a/0x140 Read of size 8 at addr ff1100004d4d3208 by task mini_poc/9312 CPU: 1 UID: 1001 PID: 9312 Comm: mini_poc Not tainted 7.1.0-rc1-00305-gbd3a4795d574 #5 PREEMPT(full) sctp_sched_fcfs_dequeue+0x13a/0x140 sctp_outq_flush+0x1603/0x33e0 sctp_do_sm+0x31c9/0x5d30 sctp_assoc_bh_rcv+0x392/0x6f0 sctp_inq_push+0x1db/0x270 sctp_rcv+0x138d/0x3c10 Bayat Çerez durumu işlenirken ilişkilendirme çıkış kuyruğu tamamen temizlenerek bu sorun giderilmiştir. Bu işlem, bekleyen tüm iletim ve yeniden iletim durumlarının düşürülmesini ve zamanlayıcıda önbelleğe alınan tüm işaretçilerin geçersiz kılınmasını sağlayarak, COOKIE_WAIT yeniden başlatılması sırasında akış durumunun yeniden oluşturulmasını güvenli hale getirir. Yalnızca stream->out_curr değerinin güncellenmesi yetersiz olacaktır, çünkü kuyrukta bekleyen ve yeniden iletilebilir veriler hala eski akış durumuna referans verecek ve daha sonra kuyruktan çıkarma yollarında serbest bırakıldıktan sonra kullanım hatasını tetikleyecektir.