Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - sctp:ピアを削除する際にnew_transportをクリアします sctp_process_asconf_param() は、新しく追加されたピアトランスポートを asoc->new_transport に保存します。ASCONF チャンクのすべてのパラメーターが処理された後、sctp_sf_do_asconf() はこのポインターを使用してハートビートを新しいトランスポートに送信します。リモート SCTP ピアからの認証された ASCONF は、同じチャンク内でワイルドカード DEL-IP パラメーターを使用して、トランスポートを追加し、再度それを削除することができます。ワイルドカードを削除すると、ASCONF が到着したトランスポートは保持されますが、新しく追加されたトランスポートは sctp_assoc_del_nonprimary_peers() を通じて削除されます。この削除によって asoc->new_transport は消去されず、削除されたトランスポートを指したままになります。次に sctp_sf_do_asconf() が、トランスポート参照を保持せずに、その chunk->transport が削除されたトランスポートを指す HEARTBEAT を作成します。
    ローカルアドレスの置換中、src_out_of_asoc_ok はこのハートビートをcontrol_chunk_listに保ちます。トランスポートが RCU によって解放された後、置換アドレスのASCONF_ACKが成功すると、キューに入れられたハートビートがリリースされ、sctp_outq_select_transport() は解放されたトランスポートの状態を読み取ります。この問題は、SCTP オブジェクトの静的監査中に見つかりました。認証されたピアを使用して、リプロデューサーは、KASAN を有効化した netdev/main カーネルでのパッチ適用されていない実行 2 回のうちの 2 回で、同じ KASAN レポートを発生させていました: バグ: KASAN:タスク python3/197 による addr ffff88800b9bd95c でのサイズ 4 の sctp_outq_select_transport Read における slab-use-after-free コールトレース:
    sctp_outq_select_transport+0x549/0x8b0 [sctp] sctp_outq_flush+0x306/0x2c60 [sctp] sctp_transport_immediate_rtx+0xaf/0x260 [sctp] sctp_process_asconf_ack+0xa48/0xf70 [sctp] タスク 197 により割り当て: sctp_transport_new+0x68/0x650 [sctp] sctp_assoc_add_peer+0x258/0x12a0 [sctp] sctp_process_asconf+0x5e9/0x1090 [sctp] 関連する可能性のある最後の作業の作成:
    __call_rcu_common.constprop.0+0x77/0xb70 sctp_assoc_del_nonprimary_peers+0x7c/0xd0 [sctp] sctp_process_asconf+0xd9c/0x1090 [sctp] 最初の無効なアクセスは、net/sctp/outqueue.c:833でのtransport->stateの4バイトの読み取りでした。同じリプロデューサーが、KASAN レポートまたは oops なしに、この変更で完全な認証済み ASCONF とローカルアドレス置換シーケンスを完了していました。ハートビートの作成に使用される前に、ピアが削除されたときにnew_transportをクリアします。(CVE-2026-74586)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-74586

critical Nessus プラグイン ID 338926

バージョン 1.4