CVE-2026-64564

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: sctp: DEL-IP işlemede ASCONF'un kendi transportunu serbest bırakma sctp_process_asconf(), ASCONF chunk'ının işlendiği transportu asconf->transport içinde önbelleğe alır (== chunk->transport, sctp_rcv() içinde bir kez ayarlanır). __sctp_rcv_asconf_lookup() tarafından Address Parameter üzerinden bulunan bir ASCONF için, önbelleğe alınan bu transport Address Parameter'a karşılık gelir ve bu, paketin kaynak adresi olmak zorunda değildir. sctp_process_asconf_param(), paket kaynak adresine yönelik bir DEL-IP'yi reddeder (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), ancak asconf->transport'u hiçbir şey korumaz. Bu nedenle tek bir ASCONF sırasıyla şunları taşıyabilir: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] burada L kaynaktan farklıdır. L için DEL-IP, D8 kontrolünü geçer ve asconf->transport'un hâlâ işaret ettiği transport üzerinde sctp_assoc_rm_peer() çağrısında bulunarak onu serbest bırakır (RCU ile ertelenmiş). Ardından gelen joker karakterli DEL-IP, artık sarkan asconf->transport'u sctp_assoc_set_primary() ve sctp_assoc_del_nonprimary_peers() içinde yeniden kullanır: set_primary() serbest bırakılan transportun alanlarına başvurur (->ipaddr, ->state) ve sarkan işaretçiyi asoc->peer.primary_path / active_path içine yerleştirir; del_nonprimary_peers() ise artık listede olmayan işaretçiyi koruyarak tüm gerçek transportları kaldırır ve ilişkilendirmeyi transport_count değeri 0 olacak şekilde ve primary_path/active_path serbest bırakılmış belleği gösterecek şekilde bırakır. Joker karakterli dalın serbest bırakılmış bir transportu asla yeniden kullanamaması için, mevcut kaynak adres korumasına benzer şekilde, ASCONF'un işlendiği transportu hedefleyen bir DEL-IP reddedilir.