CVE-2026-72123

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: can: bcm: thrtimer UAF problemini həll etmək üçün rx_op yaddaşının boşaldılmasını iş növbəsinə (workqueue) təxirə salın f1b4e32aca08 ("can: bcm: bahalı synchronize_rcu() əvəzinə call_rcu()-dan istifadə edin") commit-i bcm_delete_rx_op() funksiyasındakı synchronize_rcu()-nu call_rcu() ilə əvəz etmiş və RX_NO_AUTOTIMER bayrağını tətbiq etmişdir. Lakin paket rx sürətli yolunda (fast-path) thrtimer üçün bu bayraq yoxlaması nəzərə alınmamışdır. BCM RX əməliyyatının ləğvi zamanı, call_rcu() planlaşdırıldıqdan sonra paralel bir RCU oxuyucusu (bcm_rx_handler), bcm_rx_update_and_send() vasitəsilə thrtimer-i yenidən aktivləşdirmək üçün yarış şəraitində (race condition) ola bilər. RCU lütf dövrü başa çatdıqda, bcm_op azad edilir. Daha sonra işə düşən thrtimer boşaldılmış op-a müraciət edir ki, bu da UAF-a səbəb olur. Sürətli yola (bcm_rx_update_and_send) bayraq yoxlamalarının əlavə edilməsi TOCTOU yarışını tamamilə aradan qaldırmır və hər bir CAN freymi üçün gecikməyə səbəb olur. Əksinə, hrtimer_cancel()-in birbaşa RCU geri çağırışı (softirq konteksti) daxilində çağırılması kritikdir, çünki hrtimer_cancel() yata bilər (sleep) və bu da "scheduling while atomic" panikasını tetikləyər. Bu problem taymerin ləğvinin və yaddaşın boşaldılmasının xüsusi bir bağlanmamış iş növbəsinə (bcm_wq) təxirə salınması ilə həll edilmişdir. Artıq RCU geri çağırışı bcm_wq-ya bir iş elementini növbəyə əlavə edir və bu element yata bilən proses kontekstində hər iki taymeri təhlükəsiz şəkildə ləğv edir və yaddaşı boşaldır. Sistem səviyyəsində WQ doymasının qarşısını almaq üçün xüsusi iş növbəsindən istifadə olunur və rmmod səhifə xətalarını (page faults) önləmək üçün modul yükləmədən çıxarıldıqda təmiz şəkildə sıçırlanır/məhv edilir. Təxirə salınmış iş artıq çağıran kontekstdən məhdudiyyətsiz müddətə daha çox yaşaya bildiyi üçün, op->sk təyin edildikdə ona istinad götürülür və yalnız təxirə salınmış iş hər iki taymeri ləğv etdikdən sonra bu istinad buraxılır. Beləliklə, geri çağırışı (bcm_send_to_user()) op->sk-ya müraciət edən hələ də aktiv olan taymerin altından socket-in azad edilməsinin qarşısı alınır.