CVE-2026-89477

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: sctp: iletilmemiş RECONF tamamlamasında NULL deref hatası düzeltildi sctp_process_strreset_outreq(), sctp_process_strreset_addstrm_out() ve sctp_process_strreset_resp() fonksiyonları, gönderildikleri taşıma üzerindeki reconf zamanlayıcısını durdurarak bekleyen bir akış yeniden yapılandırma isteğini tamamlar: t = asoc->strreset_chunk->transport; if (timer_delete(&t->reconf_timer)) sctp_transport_put(t); chunk->transport, chunk giden bir pakete eklendiğinde __sctp_packet_append_chunk() tarafından atanır ve sctp_outq_flush_ctrl() aynı noktada reconf zamanlayıcısını kurar. asoc->strreset_chunk içinde yayınlanmış ancak henüz iletilmemiş bir istekte her ikisi de bulunmaz, bu nedenle işlemin tamamlanması NULL dereference işlemine yol açar. Buraya ulaşmanın iki yolu vardır. sctp_send_asconf_del_ip(), kaldırılan adres ilişkinin son adresi olduğunda hiçbir şey göndermeden asoc->src_out_of_asoc_ok değerini ayarlar ve ardından sctp_outq_flush_ctrl() tüm ASCONF dışı kontrol chunk'larını kuyrukta bırakır; yalnızca sctp_process_asconf_ack() bu bayrağı temizlediği için durum devam eder. Böyle bir adresi kaldıran ve ardından akış sıfırlaması isteyen ayrıcalıksız bir süreç, softirq üzerinden çekirdeğin paniklemesine (kernel panic) neden olur. Bir eşin ne ASCONF'a ne de yerel yardıma ihtiyacı vardır: sctp_cmd_interpreter() çıkış kuyruğunu ancak tüm paket işlendikten sonra açar, dolayısıyla bir RECONF chunk'ı taranırken oluşturulan yanıt, taramanın geri kalanı boyunca iletilmeden kalır ve [Incoming SSN Reset Request, Outgoing SSN Reset Request, Response] taşıyan tek bir RECONF chunk'ı veya tek bir paketteki iki RECONF chunk'ı aynı dereference işlemine ulaşır. KASAN: null-ptr-deref in range [0x00000000000001e8-0x00000000000001ef] RIP: 0010:timer_delete+0x67/0x110 Call Trace: <IRQ> sctp_process_strreset_addstrm_out (net/sctp/stream.c:832) sctp_sf_do_reconf (net/sctp/sm_statefuns.c:4212) sctp_do_sm (net/sctp/sm_sideeffect.c:1172) sctp_assoc_bh_rcv (net/sctp/associola.c:1044) sctp_rcv (net/sctp/input.c:243) ip_local_deliver (net/ipv4/ip_input.c:262) process_backlog (net/core/dev.c:6680) </IRQ> Bir yanıt yalnızca gerçekten gönderilmiş olan bir isteği onaylayabilir, bu nedenle chunk->transport NULL iken asoc->strreset_chunk ile eşleştirme yapmayın. Arama işleminin korunması, üç tamamlama noktasının tamamını kapsar.