CVE-2026-98374 in Linux
Resumen
por VulDB • 2026-10-07
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
tcp: corregir un use-after-free en retransmit_skb_hint dentro de tcp_send_synack()
Cuando tcp_send_synack() reemplaza el SYN skb clonado situado al inicio de la cola de reenvío con una copia, libera el original mediante tcp_rtx_queue_unlink_and_free() y solo repara tp->highest_sack. Sin embargo, tp->retransmit_skb_hint sigue apuntando al objeto skbuff_fclone_cache ya liberado.
La pista colgante (dangling hint) se lee en tcp_verify_retransmit_hint() y se utiliza como raíz para el recorrido del rbtree en tcp_xmit_retransmit_queue(). Un cliente TFO no privilegiado (sendmsg(MSG_FASTOPEN)) puede activar la pista con un mensaje ICMP fragmentation-needed proporcionado por el atacante, tras lo cual una apertura simultánea libera el SYN skb activado:
BUG: KASAN: slab-use-after-free in tcp_mark_skb_lost (net/ipv4/tcp_input.c:1316) Read of size 4 at addr ffff88800604d928 by task swapper/1/0 Call Trace: tcp_mark_skb_lost (net/ipv4/tcp_input.c:1316) tcp_simple_retransmit (net/ipv4/tcp_input.c:3158) tcp_v4_err (net/ipv4/tcp_ipv4.c:587)
Sincronizar la pista con la copia.
If you want to get best quality of vulnerability data, you may have to visit VulDB.