CVE-2026-74351

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: ocfs2: locking_state daxilində kopyalanmış fsdlm LVB göstəriciləri yenidən bazisləşdirildi (rebase) locking_state debugfs iteratoru, ocfs2_dlm_tracking_lock altında struct ocfs2_lock_res strukturunu dəyər olaraq kopyalayır və daha sonra bu kopiyanı ocfs2_dlm_seq_show() funksiyasında formatlayır. Bu, sətir içi sahələr üçün uyğundur, lakin istifadəçi sahəsi fsdlm stekle LVB-ni lksb_fsdlm.sb_lvbptr vasitəsilə saxlayır. Iterator izləmə kilidini buraxdıqda, kopyalanmış NULL olmayan sb_lvbptr hələ də orijinal lockres sahibinə işarə edir, buna görə də debugfs dump-ı xam LVB baytlarını oxumazdan əvvəl parçalama prosesi həmin konteyneri azad edə bilər. Xam LVB dump edilməzdən əvvəl kopyalanmış sb_lvbptr kopyalanmış l_lksb-yə nisbətən yenidən bazisləşdirilir. Seq snapshot artıq struct ocfs2_dlm_lksb-də rezerv edilmiş sətir içi LVB yaddaşını daşıyır, beləliklə debugfs oxuyucusu orijinal lockres ömründən asılı olmadan kopyalanmış baytları dump edə bilər. Səhv ssenari iki yolu əhatə edir, hər sütun həmin yol daxilindəki ardıcıllığı göstərir: locking_state oxuyucusu: lockres parçalanması: 1. ocfs2_dlm_seq_start()/next() 1. faylın buraxılması və ya digər sahibin struct ocfs2_lock_res-i kopyalayır parçalanmasının ocfs2_lock_res_free()-ə çatması 2. ocfs2_dlm_seq_show() kopyalanmış 2. lockres-in izləmə siyahısından çıxarılması sətri formatlayır 3. sahibinin orijinal lockres konteynerini 3. ocfs2_dlm_lvb() kopyalanmış azad etməsi sb_lvbptr-i izləyir Doğrulama zamanı bu nüvə hesabatı təkrarlandı: KASAN slab-use-after-free in ocfs2_dlm_seq_show+0x1bd/0x430 RIP: 0033:0x7f8ec4b1e29d Səhv ünvan ffff88810a1e0800 obyektinə məxsusdur və o, ölçüsü 1024 olan kmalloc-1k keşinə aiddir Səhv ünvan azad edilmiş 1024 baytlıq bölgənin [ffff88810a1e0800, ffff88810a1e0c00) daxilində 368 bayt uzaqlıqdadır Oxuma ölçüsü 1 Call trace: dump_stack_lvl+0x66/0xa0 print_report+0xce/0x630 ocfs2_dlm_seq_show+0x1bd/0x430 (fs/ocfs2/dlmglue.c:3137) srso_alias_return_thunk+0x5/0xfbef5 __virt_addr_valid+0x19f/0x330 kasan_report+0xe0/0x110 seq_read_iter+0x29d/0x790 seq_read+0x20a/0x280 find_held_lock+0x2b/0x80 rcu_read_unlock+0x18/0x70 full_proxy_read+0x9e/0xd0 vfs_read+0x12c/0x590 ksys_read+0xd2/0x170 do_user_addr_fault+0x65a/0x890 do_syscall_64+0x115/0x6a0 (arch/x86/entry/syscall_64.c:87) entry_SYSCALL_64_after_hwframe+0x77/0x7f Task stack tərəfindən ayrıldı: kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 __kasan_kmalloc+0xaa/0xb0 ocfs2_file_open+0x13e/0x300 do_dentry_open+0x233/0x7f0 vfs_open+0x5a/0x1b0 path_openat+0x66d/0x1540 do_file_open+0x186/0x2b0 do_sys_openat2+0xce/0x150 __x64_sys_openat+0xd0/0x140 do_syscall_64+0x115/0x6a0 (arch/x86/entry/syscall_64.c:87) entry_SYSCALL_64_after_hwframe+0x77/0x7f Task stack tərəfindən azad edildi: kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x5f/0x80 kfree+0x313/0x590 ocfs2_file_release+0x138/0x260 __fput+0x1df/0x4b0 fput_close_sync+0xd2/0x170 __x64_sys_close+0x55/0x90 do_syscall_64+0x115/0x6a0 (arch/x86/entry/syscall_64.c:87) entry_SYSCALL_64_after_hwframe+0x77/0x7f