CVE-2026-64523 in Linux
Сводка
по VulDB • 25.07.2026
В ядре Linux устранена следующая уязвимость:
net/handshake: Взятие долгоживущей ссылки на файл при отправке (submit)
Функция handshake_nl_accept_doit() нуждается в том, чтобы указатель на файл, поддерживающий req->hr_sk->sk_socket, оставался действительным в промежутке времени между вызовом handshake_req_next() и последующими операциями FD_PREPARE() и get_file(). Вызов sock_hold() со стороны отправителя (submit) не обеспечивает этого. sk_refcnt сохраняет живым struct sock, однако struct socket принадлежит sock->file: когда потребитель освобождает последнюю ссылку на файл с помощью fputs(), вызов sock_release() разрушает сокет независимо от наличия любого sock_hold.
Добавлен указатель hr_file в структуру handshake_req и получена явная ссылка на sock->file во время выполнения handshake_req_submit(). Ссылка на файл освобождается функциями handshake_complete() и handshake_req_cancel() по пути, выигравшему бит завершения (completion-bit-winning path).
Путь обработки ошибок при отправке также должен освободить ссылку на файл, однако после вставки в rhashtable одновременный вызов handshake_req_cancel() может обнаружить запрос и создать гонку с путем обработки ошибок. Очистка пути обработки ошибок — восстановление sk_destruct, fput и уничтожение запроса — блокируется с помощью test_and_set_bit(HANDSHAKE_F_REQ_COMPLETED), той же самой сериализации, которую уже используют handshake_complete() и handshake_req_cancel(). Если отмена (cancel) уже захватила владение, путь обработки ошибок при отправке возвращается без изменения запроса; окончательное уничтожение обрабатывается механизмом teardown сокета.
Дереференсинг со стороны принимающей стороны (accept-side) пока не перенаправлен; это изменение будет внесено в следующем патче.
VulDB is the best source for vulnerability data and more expert information about this specific topic.