CVE-2026-74589

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: bpf, sockmap: send verdict zamanı sk_redir üçün yaranan use-after-free xətası düzəldildi sk_psock_msg_verdict() funksiyası psock->sk_redir üçün soket istinadı götürür. tcp_bpf_send_verdict() mənbə soket kilidini saxlayarkən həmin göstəricini kopyalayır, lakin tcp_bpf_sendmsg_redir() ətrafındakı kilidi buraxmazdan əvvəl lokal kopya üçün istinad götürmür. apply_bytes keşlənmiş verdict-i aktiv saxladıqda, eyni mənbə soketi üzərində başqa bir sendmsg() qalan baytları istifadə edə və birinci axın hələ də yalnız xam lokal göstəricini saxladığı halda keşlənmiş istinadı azad edə bilər: CPU 0 CPU 1 sk_redir = psock->sk_redir apply_bytes sıfırdan fərqli qalır release_sock(sk) lock_sock(sk) apply_bytes sıfıra çatır psock->sk_redir = NULL release_sock(sk) tcp_bpf_sendmsg_redir(sk_redir) sock_put(sk_redir) tcp_bpf_sendmsg_redir(sk_redir) Sonuncu sock_put(), CPU 0 onu dereference etməzdən əvvəl sk_redir obyektini azad edə bilər. KASAN tərəfindən hesabat verilmişdir: BUG: KASAN: slab-use-after-free in tcp_bpf_sendmsg_redir+0xf39/0x1020 Read of size 8 at addr ffff888108537090 by task poc/87 Call Trace: tcp_bpf_sendmsg_redir+0xf39/0x1020 tcp_bpf_sendmsg+0x977/0x1a50 __sys_sendto+0x32c/0x3a0 __x64_sys_sendto+0xdb/0x1b0 Allocated by task 85: sk_prot_alloc+0x56/0x210 sk_clone+0x6f/0x14b0 inet_csk_clone_lock+0x24/0x740 tcp_create_openreq_child+0x25/0x2710 tcp_v4_syn_recv_sock+0x10a/0xe00 Freed by task 0: __kasan_slab_free+0x43/0x70 slab_free_after_rcu_debug+0xa6/0x1e0 rcu_core+0x50a/0x1850 Last potentially related work creation: __sk_destruct+0x3da/0x540 sk_psock_destroy+0x81e/0xab0 process_one_work+0x63a/0x1070 Mənbə soket kilidi hələ psock->sk_redir-i qoruyarkən müvəqqəti soket istinadı götürülür və tcp_bpf_sendmsg_redir() geri döndükdən sonra bu istinad buraxılır. Bu, kilidsiz hər bir istifadəni keşlənmiş-verdict mülkiyyətindən asılı olmayaraq müstəqil saxlayır.