CVE-2026-72071

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: tracing/user_events: user_event_mm_dup() funksiyasındakı use-after-free xətası düzəldildi fork() zamanı (copy_process()-dən çağırılara görə) user_event_mm_dup() funksiyası rcu_read_lock() altında valideyn mm-in enabler siyahısını kilidsiz şəkildə gəzir və event_mutex-i götürmür: rcu_read_lock(); list_for_each_entry_rcu(enabler, &old_mm->enablers, mm_enablers_link) enabler->event = user_event_get(orig->event); user_event_enabler_destroy() funksiyası list_del_rcu() ilə həmin siyahıdan bir enabler-i silir və sonra lütf etmə dövrünü (grace period) gözləmədən user_event_put() ilə enabler-in user_event istinadını azaldır və kfree() ilə enabler-i azad edir. list_del_rcu()-dan əvvəl enabler-i yükləmiş oxuyucu hələ də onu gəzə bilər ki, bu da iki use-after-free halına səbəb olur: - kfree(enabler) oxuyucu enabler->event-ə müraciət etdiyi zaman enabler-i azad edir. - user_event_put() user_event-ə olan sonuncu istinadı azalda bilər və eyni oxuyucu onun üzərində user_event_get(orig->event) yerinə yetirdiyi zaman user_event azad edilir (iş növbəsindəki delayed_destroy_user_event() vasitəsilə). Hər ikisinə user_events_data faylını aça bilən imtiyazsız tapşırıq tərəfindən çatmaq mümkündür: enabler qeydiyyatdan keçirən və sonra eyni vaxtda onu qeydiyyatdan çıxarıb fork() çağıran çoxaxınlı proses yarış şəraitini (race condition) tetikləyir. KASAN, clone() zamanı user_event_mm_dup()-da slab-use-after-free xətasını və user_event azad edilərkən "refcount_t: addition on 0" xəbərdarlığını bildirir. Əvvəlcə enabler use-after-free xətası aşkar edilmişdir; user_event xətası isə XIAO WU tərəfindən bildirilmişdir və daha əvvəlki yalnız enabler-ə yönəlmiş düzəliş bunu həll etməmişdi. həm user_event_put(), həm də kfree(enabler) əməliyyatlarını queue_rcu_work() ilə növbəyə alınmış iş elementinə təxirə salın, beləliklə onlar yalnız RCU lütf etmə dövründən sonra, enabler siyahısını gəzən bütün oxuyucular işini bitirdikdən sonra icra olunsun. Sonuncu istinad zamanı user_event_put() event_mutex-i götürdüyü üçün put əməliyyatı proses kontekstində çalışmalıdır, buna görə də call_rcu() əvəzinə iş növbəsindən (work queue) istifadə olunur. Artıq kilidsiz olan put əməliyyatı user_event_enabler_destroy()-ın kilidli arqumentinin silinməsinə imkan verir; bütün çağırıcılar yenilənib.