CVE-2026-64543

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: tipc: tipc_disc_rcv() funksiyasında discoverer obyektinin istifadəsi sonrası azad edilməsi (use-after-free) problemi düzəldildi bearer_disable() funksiyası b->disc obyektini tipc_disc_delete() daxilindəki adi kfree() ilə azad edir, lakin tipc_disc_rcv() hələ də rcu_read_lock() altında RX softirq-də b->disc-ə müraciət edir (tipc_udp_recv -> tipc_rcv -> tipc_disc_rcv). L2 bearer-ləri tipc_disable_l2_media() funksiyasındakı synchronize_net() sayəsində təhlükəsizdir, lakin UDP bearer həmin çağırışı cleanup_bearer() iş növbəsinə (workqueue) təxirə salır, buna görə də discoverer heç bir lütf müddəti (grace period) olmadan azad edilir: BUG: KASAN: slab-use-after-free in tipc_disc_rcv (net/tipc/discover.c:149) Read of size 8 at addr ffff88802348b728 by task poc_tipc/184 <IRQ> tipc_disc_rcv (net/tipc/discover.c:149) tipc_rcv (net/tipc/node.c:2126) tipc_udp_recv (net/tipc/udp_media.c:391) udp_rcv (net/ipv4/udp.c:2643) ip_local_deliver_finish (net/ipv4/ip_input.c:241) </IRQ> Freed by task 181: kfree (mm/slub.c:6565) bearer_disable (net/tipc/bearer.c:418) tipc_nl_bearer_disable (net/tipc/bearer.c:1001) Bearer kfree_rcu() ilə azad edilir; discoverer-i də eyni şəkildə azad edin. struct tipc_discoverer strukturuna rcu_head əlavə edin və onu və onun skb-sini RCU geri çağırma (callback) vasitəsilə azad edin. RCU geri çağırması (tipc_disc_free_rcu) modul mətnində yerləşdiyi üçün, tipc modulu yükləmədən çıxarıldıqda hələ də gözləməkdə olan call_rcu() azad edilmiş funksiyanı çağıra bilər. Bearer alt sistemi söküldükdən sonra tipc_exit() funksiyasına rcu_barrier() əlavə edin ki, bütün gözlənilən discoverer geri çağırmaları modul mətni silinməzdən əvvəl icra olunsun. İmtiyazsız istifadəçi ad sahəsindən (user namespace) əlçatandır: TIPCv2 genl ailəsi netnsok-dur və onun bearer əmrləri GENL_ADMIN_PERM tələb etmir. CONFIG_TIPC və CONFIG_TIPC_MEDIA_UDP konfiqurasiyaları tələb olunur.