CVE-2026-68458

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: binder: azad edilməzdən əvvəl cache secctx ölçüsü sıfırlanır binder_transaction() funksiyası scatter-gather bufer sahəsini sg_buf_end_offset ilə məhdudlaşdırır və hizalanmış LSM kontekstinin ölçüsünü çıxır, çünki secctx həmin sahənin sonuna yazılır. Çıxma əməliyyatı zamanı lsmctx.len oxunur, lakin həmin sətir işləyənə qədər bu sahə artıq təmizlənmiş olur: security_secid_to_secctx(secid, &lsmctx) /* lsmctx.len təyin edilir */ lsmctx_aligned_size = ALIGN(lsmctx.len, sizeof(u64)) extra_buffers_size += lsmctx_aligned_size ... security_release_secctx(&lsmctx) /* memset len sahəsini sıfırlayır */ ... sg_buf_end_offset = sg_buf_offset + extra_buffers_size - ALIGN(lsmctx.len, sizeof(u64)) /* ALIGN(0,8) */ security_release_secctx() funksiyası memset(cp, 0, sizeof(*cp)) yerinə yetirdiyi üçün lsmctx.len 0 kimi oxunur və çıxma əməliyyatı heç bir təsir göstərmir; nəticədə hər bir txn_security_ctx düyününə göndərilən tranzaksiya zamanı sg_buf_end_offset hizalanmış secctx ölçüsü qədər böyük qalır. Hər bir BINDER_TYPE_PTR obyekti daha sonra kopyalama üçün yeganə yuxarı hədd olaraq buf_left = sg_buf_end_offset - sg_buf_offset dəyərini hesablayır, buna görə də şişirilmiş son offset kopyalamanın artıq secctx-i saxlayan baytlara daxil olmasına səbəb olur. Buna görə də, hizalanmış ölçü artıq təmizlənmiş sahədən yenidən oxunmaq əvəzinə, azad edilməzdən əvvəl keşlənməlidir. Problem, həmin dəyəri ilk hesablandığı zaman funksiya miqyasında lsmctx_aligned_size dəyişənində keşləmək və azad etdikdən sonra lsmctx.len-i yenidən oxumaq əvəzinə lsmctx_aligned_size-ı çıxmaqla həll edilmişdir. Əvvəlki buf_offset hesablama prosesi üçün də eyni dəyərdən istifadə olunmuşdur.