CVE-2026-63905

Linux kernelində aşağıdakı zəiflik aradan qaldırılmışdır: usbip: vudc: vudc_remove-də yarış vəziyyəti səbəbindən istifadədən sonra azad etmə xətasını düzəldin Bu yamaq Zheng Wang-ın 2023-cü ildə vudc_remove()-də istifadədən sonra azad etmə barədə hesabatını davam etdirir. İlkin müzakirə Shuah Khan-ın ayrılma/yenidən bağlanma yolunun işləmə vaxtı testləşdirilməsi tələbində dayanmışdı. Bu yamaq həmin testləşdirməni təqdim edir və Zheng-in ilkin düzəliş formasını saxlayır. vudc_probe()-də v_init_timer() udc->tr_timer.timer-i v_timer()-ə bağlayır. usbip_sockfd_store() taymeri v_start_timer()/v_kick_timer() vasitəsilə işə salır. Sonra vudc_remove() taymer hələ gözləmədə və ya icra olunarkən onu ehtiva edən struct vudc-i azad edə bilər. KASAN yamalanmamış x86_64 QEMU qonağında CONFIG_KASAN=y, CONFIG_USBIP_VUDC=y, CONFIG_USB_ZERO=y və usbip_sockfd-ə dəfələrlə soket fd yazan, soket cütünü bağlayan və usbip-vudc.0-ı ayırıb yenidən bağlayan sıx dövrə ilə yarışı təsdiqləyir: BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x8ba/0x8e0 Write of size 8 at addr ffff888001b80740 by task trigger_and_unb/239 Allocated by task 239: vudc_probe+0x4d/0xaa0 Freed by task 239: kfree+0x18f/0x520 device_release_driver_internal+0x388/0x540 unbind_store+0xd9/0x100 Bu, v_timer()-in özünə deyil, taymer nüvəsinə düşür, çünki daxil edilmiş timer_list onu ehtiva edən struct vudc artıq azad edildikdən sonra gəzilir. Əsas yaşayış müddəti xətası Zheng-in bildirdiyi eyni xətasıdır. vudc_remove()-dən v_stop_timer() çağırıldıqda və taymer sinxron şəkildə silindikdə, eyni sınaq qurğusu KASAN hesabatı olmadan 5000 bağlama/ayırma iterasiyasını tamamladı.