CVE-2026-68138

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: net/sched: eyni vaxtda baş verən get/put əməliyyatlarına qarşı qdisc_rtab_list-in seriyallaşdırılması qdisc_get_rtab() və qdisc_put_rtab() funksiyaları heç bir kilid olmadan proses-qlobal tək istiqamətli bağlı siyahı olan qdisc_rtab_list-i və adi qeyri-atomik 'int refcnt'-ni dəyişdirir. Bu, yalnız bütün çağırıcıların tarixən RTNL mutex-ini saxlaması səbəbindən təhlükəsiz idi, bu isə bütün sürət cədvəli (rate-table) axtarışlarını, daxiletmələrini və azad edilmələrini seriyallaşdırırdı. Həmin invariant artıq qüvvədə deyil. cls_flower TCF_PROTO_OPS_DOIT_UNLOCKED parametrini təyin edir, buna görə də tc_new_tfilter() onun üçün rtnl_held == false saxlayır və TCA_ACT_FLAGS_NO_RTNL təyin edir. Həmin bayraq tcf_exts_validate_ex() -> tcf_action_init() -> tcf_action_init_1() -> tcf_police_init() vasitəsilə ötürülür və sonuncu funksiya RTNL mutex-i tutulmadan qdisc_get_rtab()/qdisc_put_rtab() funksiyalarını çağırır. Müxtəlif CPU-larda, hər biri eyni sürətə malik polis fəaliyyəti ilə flower filtri əlavə edən iki RTM_NEWTFILTER sorğusu qdisc_rtab_list və qeyri-atomik refcnt üzərində yarışa (race condition) səbəb olur ki, bu da kmalloc-2k struct qdisc_rate_table obyektinin use-after-free / double-free xətasına gətirib çıxarır. qdisc_rtab_list tək bir qlobal (hər netns üçün yox) siyahıdır, buna görə də korlanmış obyekt sistem boyu paylaşılır. BUG: KASAN: slab-use-after-free in qdisc_put_rtab+0x12f/0x160 qdisc_put_rtab+0x12f/0x160 tcf_police_init+0xda9/0x1590 tcf_action_init_1+0x460/0x6b0 tcf_action_init+0x439/0xa40 tcf_exts_validate_ex+0x42d/0x550 fl_change+0xddd/0x7da0 tc_new_tfilter+0xaa7/0x2420 rtnetlink_rcv_msg+0x95e/0xe90 hansı ki, ölçüsü 2048 olan kmalloc-2k keşinə məxsusdur qdisc_rtab_list və refcount xüsusi bir spinlock ilə qorunur. qdisc_get_rtab()-dəki (yuxarıda qalan, GFP_KERNEL) ayırma əməliyyatı kilid götürülməzdən əvvəl yerinə yetirilir; əgər eyni vaxtda digər bir daxiletmə əməliyyatı identik cədvəl əlavə etdisə, yeni ayrılmış cədvəl kilid altında azad edilir, beləliklə dublikat sızması baş vermir. qdisc_put_rtab() indi refcount-u azaldır və eyni kilid altında bağlantını kəsir.