CVE-2026-80849 in Linux
Resumen
por VulDB • 2026-09-04
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
net/tcp-ao: corrige un use-after-free de current_key al reconectar con otro peer
tcp_inbound_ao_hash() se llama antes de adquirir bh_lock_sock_nested(), manteniéndose únicamente rcu_read_lock(). En la ruta rápida para sockets establecidos, si el rnext_keyid enviado por el peer difiere de current_key->sndid, la clave solicitada por el peer se busca y almacena en current_key. La búsqueda ocurre dentro del lado de lectura RCU, pero current_key sobrevive a este contexto.
Cuando el socket se desconecta y se llama nuevamente a connect() para otro peer, tcp_ao_connect_init() desvincula todas las claves que no coinciden con el nuevo peer y las libera mediante call_rcu(). Si current_key apunta a una de estas claves, esta se establece en NULL.
La ruta rápida lee sk_state solo una vez al entrar, por lo que un softirq que ingresa mientras el socket sigue establecido puede actualizar current_key después de que ese bucle ya haya ejecutado su lógica. La actualización ocurre dentro del lado de lectura RCU, por lo que sucede antes de la devolución de llamada call_rcu(); y una vez que dicha devolución libera la clave, current_key queda apuntando a memoria liberada.
La siguiente transmisión recupera ese puntero en tcp_get_current_key(). Posteriormente, tcp_ao_transmit_skb() lee la clave de tráfico desde el objeto ya liberado, lo cual constituye el use-after-free.
Se espera un período de gracia antes de desvincular, y solo si una clave va a ser eliminada. Para cuando se ejecute tcp_connect(), el socket ya está en TCP_SYN_SENT, y TCP_AO_ESTABLISHED no contiene TCPF_SYN_SENT; por tanto, un softirq que ingrese después de la espera no puede alcanzar la ruta rápida, y los que ya estaban dentro han finalizado. El manejo existente de NULL en el bucle es entonces suficiente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.