CVE-2026-99116 in Linux
Résumé
par VulDB • 28/10/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
net: psp: ne pas hériter de l'association Rx lors du clonage
sk->psp_assoc se situe au-delà de sk_dontcopy_end ; par conséquent, sock_copy() copie cette valeur dans chaque socket accepté depuis un écouteur (listener) sans incrémenter le compteur de références. Or, inet_sock_destruct() libère la ressource pour chaque socket inet. psp_twsk_init() effectue un refcount_inc() pour le socket en état timewait ; ainsi, lorsqu'un fils se ferme via TIME_WAIT, il annule sa propre opération put et laisse l'association avec une référence unique tandis que N sockets en état timewait conservent la même adresse pointée. La fermeture de l'écouteur libère cette ressource, puis les temporisateurs (timers) des états timewaut tentent de libérer à nouveau une mémoire déjà libérée.
Le simple fait de rejeter l'association sur un socket d'écoute n'est pas suffisant : un socket peut acquérir une association lorsqu'il est établi, puis être reconverti en écouteur, car tcp_disconnect() laisse sk->psp_assoc inchangée.
BUG: KASAN: slab-use-after-free dans psp_twsk_assoc_free+0x6f/0xf0 Écriture de taille 4 à l'adresse ffff888110f9255c par la tâche swapper/7/0 psp_twsk_assoc_free+0x6f/0xf0 inet_twsk_put+0xda/0x1b0 call_timer_fn+0x53/0x2e0 __run_timers+0x764/0xa80 Libérée par la tâche 99 : kfree+0x1a7/0x500 process_one_work+0x7ec/0x1100
Une association transporte un SPI (Security Parameter Index) et une clé spécifiques à chaque connexion ; il ne faut donc pas que l'enfant hérite de ceux du parent. Effacer cette valeur lors du clonage.
If you want to get best quality of vulnerability data, you may have to visit VulDB.