CVE-2026-64584

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: usb: gadget: f_midi: midi obyekti azad edilməzdən əvvəl gözləyən IN işini ləğv edin f_midi drayveri bir iş elementini (midi->work) daxil edir və onun idarəçisi olan f_midi_in_work(), container_of() vasitəsilə onu əhatə edən struct f_midi strukturuna müraciət edir. Bu iş iki yerdən aktivləşdirilir: normal IN-son nöqtəsinin tamamlanması zamanı f_midi_complete() və ALSA rawmidi çıxış axınının başlaması zamanı f_midi_in_trigger(). Nə f_midi_disable(), nə də f_midi_unbind() midi->work elementini ləğv etmir. f_midi_disable() yalnız son nöqtələri deaktiv edir və in_req_fifo-nu boşaldır; o, iş elementini sinxronlaşdırmır və səs kartı midi obyektinin yekun azad edilməsindən asinxron şəkildə buraxılır. Midi obyekti istinad saylıdır (midi->free_ref) və həm usb_function istinadı, həm də rawmidi private_data istinadı ləğv edildikdən sonra yalnız f_midi_free() funksiyasında azad edilir. f_midi_unbind() funksiyasında f_midi_disable() səs kartı buraxılmazdan əvvəl işə düşür, buna görə də USB son nöqtələri artıq deaktiv olsa da, rawmidi cihazı açıq alt-axın tərəfindən hələ də istifadə edilə bilər. Belə bir alt-axında eyni vaxtda baş verən istifadəçi sahəsi yazma əməliyyatı f_midi_in_trigger() funksiyasına çata bilər və f_midi_disable() geri döndükdən sonra midi->work elementini yenidən növbəyə ala bilər. Bu şəkildə aktivləşdirilmiş iş elementi, sonuncu istinad ləğv edilib f_midi_free() kfree(midi) prosesinə keçdikdə hələ də gözləyən vəziyyətdə ola bilər ki, bu da f_midi_in_work() funksiyasının struktur azad edildikdən sonra ona müraciət etməsinə səbəb olur (use-after-free). Bu səbəbdən, f_midi_disable() funksiyasında midi->work elementinin ləğv edilməsi kifayət etməzdi: ALSA tetikləmə yolu disable() geri döndükdən sonra işi yenidən aktivləşdirə bilər. İstinad sayının sıfır olduğu azad etmə mərhələsində ləğv etmə, heç bir aktivləşdirmə mənbəyinin mövcud ola bilməyəcəyi sərhəddir, çünki həmin vaxta qədər midi obyektini saxlayan hər iki istinad ləğv edilmiş olur: USB son nöqtələri artıq deaktiv edilib və rawmidi cihazı buraxılıb. Bunu, f_midi_free() funksiyasının istinad sayının sıfır olduğu blokunda, daxili work_struct strukturu digər hissələrlə birlikdə azad edilməzdən əvvəl cancel_work_sync(&midi->work) çağıraraq düzəldin. opts->lock yuxulama mutexidir, buna görə də onun altında cancel_work_sync() çağırmaq icazəlidir və idarəçi opts->lock yerinə midi->transmit_lock-u götürür, beləliklə, işin işləyən nüsxəsinin bitməsini gözləyərkən özü ilə deadlock (ölü kilidlənmə) baş vermir. Bu problem daxili statik analiz aləti tərəfindən aşkar edilmişdir.