CVE-2026-74609

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: tipc: tipc_node_link_down() funksiyasında le->link oxuması node kilidi altında yerinə yetirilsin tipc_node_link_down() funksiyası n->lock kilidini götürməzdən əvvəl link göstəricisini keşləyir: struct tipc_link *l = le->link; /* kilidsiz */ if (!l) return; tipc_node_write_lock(n); if (!tipc_link_is_establishing(l)) { /* l-dən istifadə */ ... tipc_link_reset(l); /* l-yə yazıla */ if (delete) { kfree(l); le->link = NULL; delete=true olan çağırıcı həmin obyekti n->lock kilidi altında azad edir, buna görə də kilid keşlənmiş göstəricini bundan qorumur: - CPU A, delete=false: TIPC_LINK_DOWN_EVT üzərində tipc_rcv() və ya tipc_node_timeout() vasitəsilə link nəzarət taymeri, l-ni kilidsiz oxuyur və sonra onu n->lock altında istifadə edir; - CPU B, delete=true: netlink TIPC_NL_BEARER_DISABLE -> bearer_disable() -> tipc_node_delete_links() -> tipc_node_link_down(n, bearer_id, true) -> kfree(l). Link adi kfree() ilə azad edilir, kfree_rcu() ilə yox, və UDP bearer-ləri üçün disable_media() yalnız asinxron cleanup_bearer() işini planlaşdırır, beləliklə onun synchronize_net() funksiyası linklər artıq silindikdən sonra işə düşür. Buna görə də, l-ni oxuyan aktiv CPU A, B onu azad etdikdən sonra azad edilmiş yaddaşı istifadə edir: tipc_link_is_establishing() funksiyasında use-after-free oxuma və qurulma budağında tipc_link_reset() vasitəsilə use-after-free yazma baş verir. 7.2.0-rc5-00284-gaf39eb111ce6 versiyasında aşağıdakı iz tutulmuşdur: BUG: KASAN: slab-use-after-free in tipc_link_is_establishing (net/tipc/link.c:285) Read of size 4 at addr ffff88802e2aa068 by task swapper/2/0 tipc_link_is_establishing (net/tipc/link.c:285) tipc_node_link_down (net/tipc/node.c:1076) tipc_node_timeout (net/tipc/node.c:843) Allocated by task 9549: tipc_link_create (net/tipc/link.c:490) tipc_node_check_dest (net/tipc/node.c:1279) tipc_disc_rcv (net/tipc/discover.c:252) tipc_udp_recv (net/tipc/udp_media.c:389) Freed by task 9549: tipc_node_link_down (net/tipc/node.c:1084) tipc_node_delete_links (net/tipc/node.c:1320) bearer_disable (net/tipc/bearer.c:414) __tipc_nl_bearer_disable (net/tipc/bearer.c:992) le->link oxumasını tipc_node_write_lock() daxilinə köçürün ki, o, silinmə yolundakı kfree() ilə ardıcıl şəkildə icra olunsun. Yarış vəziyyətində olan sökülmə prosesi ya hələ işə düşməyib və biz düzgün link görürük, ya da artıq tamamlanıb və biz NULL görürük.