No kernel Linux, a seguinte vulnerabilidade foi resolvida. ovpn: pule o rehash para os pares já removidos do_ byid ovpn_nl_peer_set_doit() resolve o par de alvo através do ovpn_peer_get_by_id() antes de tomar ovpn->lock. Na janela entre a busca (que só leva um refcount) e o subsequente spin_lock_bh(&ovpn->lock), um OVPN_CMD_PEER_DEL, caducidade permanente ou desmontagem do socket podem primeiro tomar ovpn->lock, executar ovpn_peer_remove() para desfazer o pair de todas as quatro tabelas (by_id, by_vpn_addr 4 / 6, by_transp_ addr) e liberte o bloqueio. set_ doit então adquire ovpn->lock e chama ovpn_peer_hash_vpn_ip(), que reinserirá o pair agora removido de volta para as tabelas de reedição. A mesma corrida afeta o caminho de flutuação: ovpn_peer_endpoints_update() possui apenas um refcount e adquire o ovpn->lock muito tarde (após desencriptação do ASAD async e uma notificação de netlink), então rehashes o pair na tabela by_transp_addr.
O pai ressuscitado torna- se alcançable novamente a partir da busca RX (ovpn_peer_get_by_transp_addr) e da busca TX VPN- IP, mesmo que o espaço de usuário acredite que ele se foi. Uma vez que o refcount do caminho de dados desce, o peer é libertado via call_ rcu enquanto os ingressos incorporados nele permanecem ligados, abrindo uma janela UAF. Saia do rehash quando hash_ entry_id não for desafeitado, refletindo o centinela já usado pelo ovpn_peer_ remove() para detectar o estado já removido. A verificação está segura sob o ovpn->lock, que serializa cada mutação de hash_entry_id, e é um não-op para o caminho de adicionar porque o ovpn_peer_add_mp() insere hash_entry_id antes de ligar para o ovpn_peer_hash_vpn_ip(). Registro de aconselhamento: GHSA- vxqr- 379 f- fhc 4. Identificadores relacionados: CVE- 2026 - 74727.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 22 T 18: 30: 30.000 Z e lista a sua última modificação como 2026 - 08 - 25 T 06: 31: 30.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: nenhum identificador CWE está listado. O registro contém 4 suporte de referências nestes tipos: AVISO, WEB.