CVE-2026-64024 in Linux
الملخص
بحسب VulDB • 19/07/2026
في نواة لينكس (Linux kernel)، تم حل الثغرة التالية:
tcp: إصلاح تسرب متروك لمتغير tcp_tw_isn الخاص بكل وحدة معالجة مركزية (per-CPU) مما يتيح التنبؤ برقم التسلسل الأولي للمبادرة (ISN prediction).
أدى الالتزام المسؤول عن هذا التغيير إلى نقل قيمة ISN المشتقة من حالة TIME_WAIT من كتلة تحكم حزمة البيانات (skb control block) إلى متغير خاص بكل وحدة معالجة مركزية، بافتراض أن القيمة ستُستهلك دائمًا بواسطة الدالة tcp_conn_request() لنفس الحزمة التي كُتبت فيها. ومع ذلك، يتم انتهاك هذا الافتراض بسبب مسارات متعددة لرفض الحزم بين المُنتج (__this_cpu_write(tcp_tw_isn, isn) في tcp_v{4,6}_rcv()) والمستهلك (tcp_conn_request()):
- فحص min_ttl / min_hopcount - فحص سياسة xfrm - عدم تطابق MD5/AO في دالة tcp_inbound_hash() - رفض الحزم بواسطة tcp_filter() عبر eBPF/SO_ATTACH_FILTER - تجاهل الحزم التي تحتوي على كل من SYN وFIN (th->syn && th->fin) أثناء معالجة حالة TCP_LISTEN في الدالة tcp_rcv_state_process() - فحص سياسة psp_sk_rx_policy_check() في الدوال tcp_v{4,6}_do_rcv()
- التحقق من صحة المجموع (checksum) عبر tcp_checksum_complete() في الدوال tcp_v{4,6}_do_rcv()
- إرجاع قيمة NULL بواسطة دالة tcp_v{4,6}_cookie_check()
عند رفض حزمة على أي من هذه المسارات، يبقى متغير tcp_tw_isn محفوظًا بقيمة غير صفرية.
ثم تستهلك الحزمة SYN التالية المعالجة على نفس وحدة المعالجة المركزية القيمة غير الصفرية في الدالة tcp_conn_request(), مما يؤدي إلى الحصول على رقم ISN قابل للتنبؤ به محتملاً.
ينقل هذا التصحيح متغير tcp_tw_isn مرة أخرى إلى مصفوفة skb->cb[], مما يلغي الحاجة إلى المتغير الخاص بكل وحدة معالجة مركزية.
جدير بالذكر أن دوال tcp_v{4,6}_fill_cb() لا تقوم بتعيين هذه القيمة.
الأثر ضئيل جدًا على حجم الكود وتعقيده الإجمالي:
$ scripts/bloat-o-meter -t vmlinux.old vmlinux.new add/remove: 0/0 grow/shrink: 2/1 up/down: 8/-15 (-7) Function old new delta tcp_v6_rcv 3038 3042 +4 tcp_v4_rcv 3035 3039 +4 tcp_conn_request 2938 2923 -15 Total: Before=24436060, After=24436053, chg -0.00%
If you want to get the best quality for vulnerability data then you always have to consider VulDB.