CVE-2026-64469

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: binder: binder_thread_release() funksiyasında UAF problemi düzəldilib Bir thread sona çatdıqda, binder_thread_release() onun tranzaksiya yığınını gəzərək çıxan thread-ə uyğun gələn t->from və t->to_proc sahələrini təmizləyir. Lakin paralel olaraq sona çatan proses bu tranzaksiyalardan bəzilərini kfree ilə azad etməyə cəhd edə bilər. Əgər onlardan birinin əlaqəli t->to_proc sahəsi yoxdursa, t->to_proc->inner_lock kilidi alınmayacaq. Bu o deməkdir ki, t->to_proc təmizləndikdən sonra binder_thread_release() funksiyasındakı tranzaksiya müraciətləri binder_free_transaction() ilə yarışa bilər və KASAN tərəfindən bildirildiyi kimi istifadədən sonra azadetmə (use-after-free) xətasına səbəb ola bilər: ================================================================== BUG: KASAN: slab-use-after-free in binder_thread_release+0x5d0/0x798 Write of size 8 at addr ffff000016627500 by task X/715 CPU: 17 UID: 0 PID: 715 Comm: X Not tainted 7.1.0-rc5-00149-g8fde5d1d47f6 #30 PREEMPT Hardware name: linux,dummy-virt (DT) Call trace: binder_thread_release+0x5d0/0x798 binder_ioctl+0x12c0/0x299c [...] Allocated by task 717 on cpu 18 at 67.267803s: __kasan_kmalloc+0xa0/0xbc __kmalloc_cache_noprof+0x174/0x444 binder_transaction+0x554/0x8150 binder_thread_write+0xa30/0x4354 binder_ioctl+0x20f0/0x299c [...] Freed by task 202 on cpu 18 at 90.416221s: __kasan_slab_free+0x58/0x80 kfree+0x1a0/0x4a4 binder_free_transaction+0x150/0x294 binder_send_failed_reply+0x398/0x6d8 binder_release_work+0x3e4/0x4ec binder_deferred_func+0xbd8/0x104c [...] ================================================================== Bunun qarşısını almaq üçün binder_free_transaction() funksiyasının t->to_proc sahəsini tranzaksiya kilidi altında oxumasını təmin edin. Bu, tranzaksiyanın azad edilməsini binder_thread_release() funksiyasındakı müraciətlərlə ardıcıllaşdıracaq. Bundan əlavə, bu, @to_proc üçün sənədləşdirilmiş kilidləmə qaydalarına uyğundur.