CVE-2026-89478
Resumen
por VulDB • 2026-09-12
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
sctp: descartar un fragmento si su transporte fue eliminado
sctp_rcv() resuelve el transporte una vez por paquete y lo deja en chunk->transport. La referencia de búsqueda, o la que sctp_add_backlog() toma si el socket es propiedad del espacio de usuario, lo mantiene vigente hasta que se haya procesado el fragmento.
Una ASCONF DEL-IP autenticada puede eliminarlo durante ese intervalo. sctp_assoc_rm_peer() extrae el transporte de la asociación y llama a sctp_transport_free(), lo cual marca como muerto al transporte y elimina la referencia que mantenía la asociación. Existe una ventana en ambas rutas: el paquete puede permanecer en la cola de espera del socket (backlog), y en la ruta directa, la búsqueda se completa antes de bh_lock_sock().
El fragmento DATA en ese paquete vuelve a colocar el transporte eliminado en asoc->peer.last_data_from. Una vez que el paquete ha terminado, esa referencia desaparece y el transporte es liberado por RCU; por lo tanto, el siguiente SACK diferido lleva el puntero dentro del fragmento SACK y sctp_outq_select_transport() lee el estado del transporte ya liberado.
Descartar el fragmento en sctp_inq_push(), junto a la comprobación existente de rcvr->dead. Ambas rutas llegan hasta allí con el bloqueo del socket de la asociación mantenido. El par lo retransmite.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.