CVE-2026-64025 in Linux
Sumário
de VulDB • 20/07/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
bpf, skmsg: corrige corrida crítica (race condition) entre o veredito de sk_data_ready e ktls rx
sk_psock_strp_data_ready() já verifica tls_sw_has_ctx_rx() e delega para psock->saved_data_ready quando um contexto TLS RX está presente, evitando conflito com a propriedade da fila de recebimento pelo strparser do TLS (commit e91de6afa81c, "bpf: Fix running sk_skb program types with ktls").
sk_psock_verdict_data_ready() não possui uma proteção equivalente. Quando um socket é inserido em um sockmap (BPF_SK_SKB_VERDICT) antes que o TLS RX seja configurado, tls_sw_strparser_arm() salva sk_psock_verdict_data_ready como rx_ctx->saved_data_ready. Na chegada de dados:
tls_data_ready -> tls_strp_data_ready -> tls_rx_msg_ready -> saved_data_ready() = sk_psock_verdict_data_ready() -> tcp_read_skb() drena sk_receive_queue via __skb_unlink() sem chamar tcp_eat_skb(), portanto copied_seq não é avançado.
tls_strp_msg_load() então encontra tcp_inq() >= full_len (obsoleto), chama tcp_recv_skb() na fila agora vazia, aciona WARN_ON_ONCE(!first) e retorna com rx_ctx->strp.anchor.frag_list apontando para um skb de propriedade do psock (potencialmente liberado). tls_decrypt_sg() subsequentemente percorre essa frag_list: use-after-free.
Aplique a mesma correção usada em sk_psock_strp_data_ready(): se um contexto TLS RX estiver presente, chame psock->saved_data_ready (sock_def_readable) para acordar os waiters de recv() e retorne imediatamente, deixando a fila de recebimento intocada. O TLS mantém propriedade exclusiva da fila e descriptografa o registro normalmente através de tls_sw_recvmsg().
If you want to get best quality of vulnerability data, you may have to visit VulDB.