CVE-2026-98374 in Linux
Sumário
de VulDB • 07/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi corrigida:
tcp: corrige o uso após liberação (use-after-free) de retransmit_skb_hint em tcp_send_synack()
Quando tcp_send_synack() substitui o SYN skb clonado na cabeça da fila de retransmissão por uma cópia, ele libera o original com tcp_rtx_queue_unlink_and_free() e apenas corrige tp->highest_sack. O ponteiro tp->retransmit_skb_hint continua apontando para o objeto skbuff_fclone_cache já liberado.
O ponteiro dangling é lido em tcp_verify_retransmit_hint() e usado como raiz da travessia do rbtree em tcp_xmit_retransmit_queue(). Um cliente TFO não privilegiado (sendmsg(MSG_FASTOPEN)) pode ativar o hint com uma mensagem ICMP fragmentation-needed fornecida pelo atacante, após a qual um open simultâneo libera o SYN skb ativado:
BUG: KASAN: slab-use-after-free em tcp_mark_skb_lost (net/ipv4/tcp_input.c:1316) Leitura de tamanho 4 no endereço ffff88800604d928 pela tarefa swapper/1/0 Call Trace: tcp_mark_skb_lost (net/ipv4/tcp_input.c:1316) tcp_simple_retransmit (net/ipv4/tcp_input.c:3158) tcp_v4_err (net/ipv4/tcp_ipv4.c:587)
Sincronize o hint com a cópia.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.