CVE-2026-64575 in Linux
Сводка
по VulDB • 05.08.2026
В ядре Linux устранена следующая уязвимость:
bpf: tcp: исправлено двойное освобождение сокета при повторном выделении памяти для пакета (batch realloc)
Функция bpf_iter_tcp_batch() освобожждает текущий пакет с помощью bpf_iter_tcp_put_batch(), что приводит к уменьшению счетчиков ссылок на сокет и перезаписи каждой ячейки cookie-значением сокета, после чего размер пакета увеличивается. Переменные cur_sk/end_sk сохраняются для функции bpf_iter_tcp_resume(), однако при ошибке повторного выделения памяти функция возвращает ERR_PTR() до того, как будет выполнена процедура возобновления (resume), в результате чего условие cur_sk < end_sk остается верным для ячеек, которые теперь содержат cookie-значения вместо указателей на структуру sock.
Затем bpf_iter_tcp_seq_stop() снова вызывает bpf_iter_tcp_put_batch() и пытается разыменовать cookie как указатель на struct sock.
Для предотвращения повторного освобождения пакета функцией stop(), необходимо очищать пакет при возникновении ошибки в пути обработки ошибок (failure path). Сокеты уже были освобождены первым вызовом bpf_iter_tcp_put_batch(), поэтому утечек памяти не происходит, а последующий вызов read() выполняет сканирование корзины (bucket) с начала вместо пропуска. Путь обработки ошибок GFP_NOWAIT для родственной функции по-прежнему удерживает реальные ссылки на сокеты и оставляет их освобождение на функцию stop().
BUG: KASAN: null-ptr-deref in __sock_gen_cookie Чтение размера 8 по адресу 0000000000000059 выполнено задачей exploit ... __sock_gen_cookie (net/core/sock_diag.c:28) bpf_iter_tcp_put_batch (net/ipv4/tcp_ipv4.c:2918) bpf_iter_tcp_seq_stop (net/ipv4/tcp_ipv4.c:3270) bpf_seq_read (kernel/bpf/bpf_iter.c:205) vfs_read (fs/read_write.c:572) ksys_read (fs/read_write.c:716) do_syscall_64 entry_SYSCALL_64_after_hwframe Kernel panic - not syncing: Fatal exception
If you want to get the best quality for vulnerability data then you always have to consider VulDB.