CVE-2026-72422

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: ksmbd: paralel SMB2 NEGOTIATE zamanı conn->preauth_info-nun use-after-free xətası düzəldildi conn->preauth_info, SMB2 NEGOTIATE idarəedicisi tərəfindən ayrılan və azad edilən, cavab göndərmə yolu tərəfindən oxunan ortaq bağlantı vəziyyətidir (struct preauth_integrity_info, kmalloc-96). smb2_handle_negotiate() funksiyası conn->preauth_info-nu ayırır və deassemble_neg_contexts() uğursuz olduqda onu kfree edərək NULL təyin edir. Həm ayırma, həm də azad etmə/NULL təyini bütün idarəedici gövdəsi boyunca saxlanılan ksmbd_conn_lock(conn) (bağlantının srv_mutex-i) altında baş verir. __handle_ksmbd_work()-nın send: blokundan çağırılan cavab göndərmə yolu smb3_preauth_hash_rsp(), conn_lock-u götürmədən conn->preauth_info-nu oxuyur və conn->preauth_info->Preauth_HashValue-ya müraciət edir (ksmbd_gen_preauth_integrity_hash() vasitəsilə). Müştəri eyni bağlantıda iki SMB2 NEGOTIATE sorğusu göndərdikdə, bir işçi (worker) uğursuz negotiate yolunda conn->preauth_info-nu azad edə bilər, eyni zamanda paralel göndərmə yolu işçisi onu oxuya bilər ki, bu da slab use-after-free oxuma xətasına səbəb olur (KASAN tərəfindən təsdiqlənib). Göndərmə yolu oxuması conn->preauth_info-nun NULL olub-olmadığını yoxlayırdı, lakin NULL yoxlaması ilə müraciət arasında baş verən azad etmə əməliyyatı ilə yarış (race condition) yaranırdı, buna görə də yalnız NULL mühafizəsi boşluğu bağlamırdı. smb3_preauth_hash_rsp()-dəki NEGOTIATE budağına aid oxuma prosesi ksmbd_conn_lock(conn) altında ardıcıl hala gətirildi və kilidin daxilində conn->preauth_info yenidən yoxlanıldı. Negotiate idarəedicisi özünün kfree + NULL təyini əməliyyatları boyunca conn_lock-u saxladığı üçün, həmçinin conn_lock-u götürən oxuyucu ya ayırmadan tam öncə, ya da NULL təyinatından tam sonra işləyir və heç vaxt azad edilmiş lakin hələ NULL edilməmiş göstəricini müşahidə etmir. ksmbd_gen_preauth_integrity_hash() özü heç bir kilidi götürmür (o, yalnız bufer üzərində SHA-512 hesablayır), buna görə də kilid sıralamasında inversiya yaranmır və conn_lock bu göndərmə yolunda təhlükəsiz olan yuxulabilən (sleepable) mutexdir (onun artıq şəbəkə I/O əməliyyatlarını yerinə yetirdiyi üçün).