CVE-2026-64551

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: sctp: bayatlık okunmadan önce STALE_COOKIE cause uzunluğunu doğrula COOKIE_ECHOED durumunda STALE_COOKIE cause içeren bir ERROR chunk alındığında, sctp_sf_do_5_2_6_stale() cause başlığını takip eden 4 baytlık Measure of Staleness alanını okur: err = (struct sctp_errhdr *)(chunk->skb->data); stale = ntohl(*(__be32 *)((u8 *)err + sizeof(*err))); err, chunk içindeki ilk cause'dur; dispatch'e neden olan STALE_COOKIE cause değildir ve bayatlık alanının mevcut olduğunu garanti eden hiçbir şey yoktur. sctp_walk_errors() yalnızca bir cause'un 4 baytlık başlık kadar uzun olmasını gerektirir; bu nedenle uzunluğu 4 olan bir STALE_COOKIE cause için okuma cause'un ötesine, minimal bir ERROR chunk için ise skb->tail'in ötesine geçer. Değer, yanıt INIT'in Cookie Preservative alanında eşe yansıtılarak başlatılmamış bellek sızdırılır. sctp_sf_cookie_echoed_err() zaten STALE_COOKIE cause'a kadar ilerlemektedir; bu nedenle uzunluğu orada kontrol edin ve sctp_sf_do_5_2_6_stale() fonksiyonuna iletin; bu fonksiyon ilk cause yerine o cause'u okur. Bayatlık alanını tutamayacak kadar kısa olan bir STALE_COOKIE cause atılır. Okuma, bir ilişkilendirmeyi COOKIE_ECHOED durumuna sürükleyebilen herhangi bir eş tarafından erişilebilir; buna kullanıcı ve ağ ad alanında ham SCTP soketi kullanan ayrıcalıksız bir süreç de dahildir.