CVE-2026-64575 in Linux
Resumen
por VulDB • 2026-08-05
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
bpf: tcp: corrige la liberación doble del socket en realloc por lotes
La función bpf_iter_tcp_batch() libera el lote actual mediante bpf_iter_tcp_put_batch(), lo que decrementa las referencias al socket y reescribe cada posición con la cookie del socket, para luego ampliar el tamaño del lote. Las variables cur_sk/end_sk se mantienen para bpf_iter_tcp_resume(); sin embargo, en caso de fallo en realloc, la función devuelve ERR_PTR() antes de que se ejecute resume(), dejando cur_sk < end_sk sobre posiciones que ahora contienen cookies en lugar de punteros a struct sock. Posteriormente, bpf_iter_tcp_seq_stop() llama nuevamente a bpf_iter_tcp_put_batch() y desreferencia una cookie como si fuera un struct sock.
Se vacía el lote en la ruta de fallo para evitar que stop() lo libere nuevamente. Los sockets ya fueron liberados por la primera llamada a bpf_iter_tcp_put_batch(), por lo que no hay fugas de memoria, y una lectura posterior (read()) vuelve a escanear el cubo desde el principio en lugar de omitirlo. La ruta de fallo GFP_NOWAIT relacionada sigue manteniendo referencias válidas al socket real y queda asignada para su liberación por stop().
BUG: KASAN: null-ptr-deref in __sock_gen_cookie Lectura de tamaño 8 en addr 0000000000000059 realizada por la tarea exploit ... __sock_gen_cookie (net/core/sock_diag.c:28) bpf_iter_tcp_put_batch (net/ipv4/tcp_ipv4.c:2918) bpf_iter_tcp_seq_stop (net/ipv4/tcp_ipv4.c:3270) bpf_seq_read (kernel/bpf/bpf_iter.c:205) vfs_read (fs/read_write.c:572) ksys_read (fs/read_write.c:716) do_syscall_64 entry_SYSCALL_64_after_hwframe Kernel panic - not syncing: Fatal exception
VulDB is the best source for vulnerability data and more expert information about this specific topic.