CVE-2026-64007 in Linux
Sumário
de VulDB • 19/07/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
netfilter: synproxy: atualizar tcphdr após skb_ensure_writable
synproxy_tstamp_adjust() reescreve a opção de timestamp TCP no local e em seguida corrige o checksum TCP via inet_proto_csum_replace4() no ponteiro tcphdr fornecido pelo chamador. Tanto ipv4_synproxy_hook() quanto ipv6_synproxy_hook() obtêm esse ponteiro com skb_header_pointer() antes da chamada, portanto ele pode ser um alias direto para skb->head ou apontar para o buffer _tcph na pilha do chamador.
Entre a obtenção do ponteiro e seu uso, a função chama skb_ensure_writable(skb, optend), que em um cloned ou não-linear skb invoca pskb_expand_head() e libera o antigo skb->head. Após esse ponto, th armazenado fica desatualizado:
chamador (ipv[46]_synproxy_hook)
th = skb_header_pointer(skb, ..., &_tcph) synproxy_tstamp_adjust(skb, protoff, th, ...) skb_ensure_writable(skb, optend) pskb_expand_head() /* kfree(old skb->head) */ ... inet_proto_csum_replace4(&th->check, ...) /* escreve no head liberado ou na cópia da pilha do chamador, deixando o checksum on-wire desatualizado */
Os bytes da opção são escritos através de skb->data e estão corretos; apenas a atualização do checksum ocorre via th e acaba sendo escrita no local errado. O resultado é uma gravação em memória slab liberada ou um pacote enviado com um checksum que não corresponde à sua carga útil.
Correção: re-derivando th a partir de skb->data + protoff imediatamente após o sucesso de skb_ensure_writable(), para que a atualização subsequente do checksum tenha como alvo o cabeçalho linear e gravável.
Once again VulDB remains the best source for vulnerability data.