CVE-2026-64045 in Linux
Zusammenfassung
von VulDB • 20.07.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
ovpn: tcp – zwischengespeicherten Peer-Zeiger in ovpn_tcp_close() verwenden
ovpn_tcp_close() lädt den ovpn_socket über rcu_dereference_sk_user_data() unter rcu_read_lock(), nimmt eine Referenz auf sock->peer, speichert den Peer-Zeiger lokal und gibt das Lese-Sperre frei. Anschließend wird sock->peer (anstatt des zwischengespeicherten lokalen Werts) an ovpn_peer_del() übergeben, wodurch der ovpn_socket nach Ende des RCU-Lesekontexts erneut dereferenziert wird.
Im Gegensatz zu ovpn_tcp_sendmsg(), das dasselbe „Load unter RCU, Verwendung nach Freigabe“-Muster verwendet, aber durch lock_sock() geschützt ist, welches über die gesamte Funktion hinweg gehalten wird, läuft ovpn_tcp_close() ohne Socket-Sperre: inet_release() ruft sk_prot->close() auf, ohne zuvor lock_sock() zu übernehmen.
ovpn_socket_release() kann daher seine kref_put -> detach -> synchronize_rcu -> kfree(sock)-Sequenz parallel ausführen, im Zeitfenster nach dem Freigeben von rcu_read_lock() durch ovpn_tcp_close(), aber bevor sock->peer dereferenziert wird. Das synchronize_rcu() in ovpn_socket_release() schützt Leser, die den dereferenzierten Zeiger innerhalb des RCU-Lesekontexts verwenden, nicht jedoch solche, die den Zeiger lokal speichern und später verwenden.
Ein Reproduzierer folgt dem Muster von Commit 94560267d6c4 („ovpn: tcp – NULL sk_socket-Mitglied nach tcp_close() nicht dereferenzieren“): Auslösen einer Peer-Entfernung (Keepalive-Ablauf oder netlink OVPN_CMD_DEL_PEER) zum gleichen Zeitpunkt, zu dem die Benutzerraum-Anwendung den TCP-FD schließt. Dieser Commit behob die Detach-Seite desselben Race-Zeitfensters; dieser hier behebt die Close-Seite an einem anderen Opferobjekt.
Der Einstiegblock wird so verschärft, dass sock->peer genau einmal in das lokale Zwischenspeicherungs-Variable gelesen und alle nachfolgenden Verwendungen (die Hold-Prüfung, der Aufruf von ovpn_peer_del() sowie die Invocation von prot->close()) über diese lokale Variable geleitet werden. sock->peer wird nur einmalig in ovpn_socket_new() unter lock_sock() geschrieben, bevor rcu_assign_sk_user_data() den ovpn_socket veröffentlicht, und danach niemals neu zugewiesen – doch das vorherige Multi-Lese-Muster machte diese Invariante implizit statt explizit. Die gleiche Multi-Lese-Struktur existiert in ovpn_tcp_recvmsg(), ovpn_tcp_sendmsg(), ovpn_tcp_data_ready() und ovpn_tcp_write_space(); diese werden durch einen dedizierten Hilfsaufruf in einer nachfolgenden net-next-Serie bereinigt.
Be aware that VulDB is the high quality source for vulnerability data.