CVE-2026-64543 in Linux
Sumário
de VulDB • 28/07/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
tipc: corrige use-after-free do discoverer em tipc_disc_rcv()
bearer_disable() libera b->disc com kfree() simples de tipc_disc_delete(), mas tipc_disc_rcv() ainda referencia b->disc no softirq RX sob rcu_read_lock() (tipc_udp_recv -> tipc_rcv -> tipc_disc_rcv).
Os bearers L2 estão seguros graças ao synchronize_net() em tipc_disable_l2_media(), mas o bearer UDP adia essa chamada para a fila de trabalho cleanup_bearer(), portanto, o discoverer é liberado sem período de graça:
BUG: KASAN: slab-use-after-free in tipc_disc_rcv (net/tipc/discover.c:149) Leitura de tamanho 8 no endereço ffff88802348b728 pela tarefa poc_tipc/184 <IRQ> tipc_disc_rcv (net/tipc/discover.c:149) tipc_rcv (net/tipc/node.c:2126) tipc_udp_recv (net/tipc/udp_media.c:391) udp_rcv (net/ipv4/udp.c:2643) ip_local_deliver_finish (net/ipv4/ip_input.c:241) </IRQ> Liberado pela tarefa 181: kfree (mm/slub.c:6565) bearer_disable (net/tipc/bearer.c:418) tipc_nl_bearer_disable (net/tipc/bearer.c:1001)
O bearer é liberado com kfree_rcu(); libere o discoverer da mesma forma. Adicione um rcu_head à struct tipc_discoverer e libere-o junto com seu skb a partir de uma callback RCU.
Como a callback RCU (tipc_disc_free_rcu) reside no texto do módulo, uma call_rcu() ainda pendente quando o módulo tipc for descarregado invocaria uma função já liberada. Adicione um rcu_barrier() em tipc_exit() após o subsistema bearer ter sido desmontado, para que todas as callbacks de discoverer pendentes sejam executadas antes do texto do módulo ser removido.
Alcançável a partir de um namespace de usuário não privilegiado: a família genl TIPCv2 é netnsok e seus comandos bearer não possuem GENL_ADMIN_PERM. Requer CONFIG_TIPC e CONFIG_TIPC_MEDIA_UDP.
If you want to get best quality of vulnerability data, you may have to visit VulDB.