CVE-2026-53246: Kernel Linux SCTP: falta de verificação de limites no chunk INIT em cache durante COOKIE_ECHO
A CVE-2026-53246 é uma falha crítica de escrita fora dos limites (CWE-787) no código SCTP do kernel Linux. O CNA atribuiu nota 9,8 pelo CVSS 3.1, e o registro indica que a falta de validação do tamanho de um chunk INIT em cache pode levar a leituras fora dos limites e corrupção de memória. As fontes consultadas não mostram exploração confirmada.
Visão geral
A CVE-2026-53246 afeta a implementação SCTP (Stream Control Transmission Protocol) do kernel Linux. Quando um servidor SCTP em escuta trata um chunk COOKIE_ECHO, ele analisa um chunk INIT do peer em cache incorporado após o cookie. O registro indica que o comprimento desse chunk em cache não era verificado contra os dados realmente recebidos, de modo que a varredura posterior dos parâmetros pode ultrapassar o buffer. A correção upstream adiciona uma verificação de limites em sctp_unpack_cookie().
Impacto
O registro descreve leituras fora dos limites e possível corrupção de memória durante o tratamento posterior dos parâmetros, incluindo o processamento de STATE_COOKIE e cópias com kmemdup(). O CWE associado é o CWE-787 (Escrita fora dos limites). O CNA classifica a falha com nota 9,8 (Crítica) no CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcance pela rede e alto impacto em confidencialidade, integridade e disponibilidade conforme pontuado pelo CNA.
Produtos e versões afetados
O registro lista o produto como Linux Linux Kernel com estas expressões de versão:
- ≥ 2.6.12.1 and < 6.18.36
- ≥ 6.19 and < 7.0.13
- version 2.6.12, e os candidatos a lançamento 2.6.12-rc2, 2.6.12-rc3, 2.6.12-rc4 e 2.6.12-rc5
- version 7.1-rc1 até 7.1-rc6
A faixa afetada é, portanto, descrita pelos dados do CNA e não por uma única compilação de produto. Kernels de distribuições podem conter backports, por isso os números de versão upstream devem ser conferidos no aviso do fornecedor de cada sistema.
Status de exploração
A entrada desta CVE não consta como listada no catálogo KEV no registro, portanto não há exploração ativa confirmada pelo CISA KEV. Nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS não está presente no registro.
Correção e mitigação
- Identifique sistemas com kernels Linux dentro das faixas afetadas, incluindo kernels de distribuição que possam ter backports.
- Aplique as correções estáveis upstream citadas no registro, ou a atualização equivalente da sua distribuição ou fornecedor.
- Quando o SCTP não for necessário, considere desabilitar o módulo SCTP do kernel ou restringir o tráfego SCTP nas bordas da rede, como medida temporária de redução de risco.
- Priorize hosts expostos à internet ou multi-inquilino que aceitem associações SCTP.
O registro não informa um número de versão corrigida para cada ramo. Os limites superiores das faixas afetadas (6.18.36 e 7.0.13) sugerem onde começam as compilações corrigidas, mas isso é uma inferência e deve ser confirmado nas notas de lançamento dos kernels estáveis.
Orientações de detecção
- Revise os logs do kernel em busca de travamentos, mensagens oops ou relatos de corrupção de memória envolvendo o subsistema SCTP.
- Inventarie os hosts em que o módulo SCTP está carregado, pois módulos desnecessários aumentam a exposição.
- Monitore tráfego SCTP inesperado em hosts que normalmente não o utilizam.
São indicadores de alto nível apenas. O registro não descreve assinaturas observáveis específicas.
Limitações das informações disponíveis
O registro não inclui aviso específico de fornecedor, prova de conceito nem dados de exploração confirmada. A pontuação EPSS está ausente. A versão corrigida exata de cada ramo estável não é informada no registro, e os três commits de correção citados não foram analisados em seu conteúdo completo. Conclusões sobre explorabilidade além da pontuação do CNA são desconhecidas.
Perguntas frequentes
Qual é o problema central da CVE-2026-53246?
O kernel Linux não valida o comprimento de um chunk INIT em cache transportado em uma mensagem COOKIE_ECHO em relação aos dados realmente recebidos, o que pode levar a leituras fora dos limites e corrupção de memória.
Há exploração ativa conhecida desta vulnerabilidade?
O registro mostra que a CVE não está listada no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Identificar as versões de kernel afetadas, incluindo kernels de distribuição, e aplicar as correções estáveis upstream ou a atualização da sua distribuição. Se o SCTP não for necessário, considere desabilitá-lo como medida temporária.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.