CVE-2026-80842

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: net: bridge: mcast: master VLAN-ın multicast kontekstində use-after-free xətası düzəldildi br_multicast_toggle_one_vlan() funksiyası, VLAN-ın multicast kontekstini dayandırmazdan əvvəl br->multicast_lock altında BR_VLFLAG_MCAST_ENABLED bayrağını təmizləyir. Bu, sökülmə prosesinin (teardown handshake) bir hissəsidir: kilidsiz oxuyucular br_multicast_ctx_should_use() -> br_multicast_ctx_vlan_disabled() vasitəsilə bu bayrağı yoxlayırlar, beləliklə, bayraq kilid altında təmizləndikdən sonra heç bir oxuyucu konteksti yenidən aktivləşdirə bilmir. Master VLAN üçün bu proses heç vaxt baş vermir. __vlan_del() funksiyası br_vlan_put_master() çağırılmamışdan əvvəl BRIDGE_VLAN_INFO_BRENTRY-ni təmizləyir, buna görə də br_multicast_toggle_one_vlan(masterv, false) !br_vlan_is_brentry(vlan) şərti səbəbindən erkən geri dönür: bayraq təyin olunmuş vəziyyətdə qalır və br->multicast_lock heç vaxt götürülmür. Daha sonra br_vlan_put_master() funksiyası br_multicast_ctx_deinit() daxilində konteksti boşaldır və call_rcu() vasitəsilə VLAN-ı azad edir, lakin hələ də rcu_read_lock() daxilində olan oxuyucu konteksti aktiv kimi görür və onu yenidən aktivləşdirir. Funksiyanın port və port-VLAN budaqlarında br_vlan_is_brentry() testi yoxdur və bayraq br->multicast_lock altında dəyişdirilir, ona görə də onlar bundan təsirlənmir. Oxuyucu körpünün ötürmə yoludur (bridge transmit path). Master VLAN üçün br_multicast_rcv() pmctx = NULL olmaqla brmctx = &vlan->br_mcast_ctx seçir, beləliklə, körpü cihazına göndərilən IGMP paketləri, br_multicast_ctx_deinit() onları artıq dayandırdıqdan sonra kontekstin taymerlərini yenidən aktivləşdirir. BUG: KASAN: slab-use-after-free in detach_if_pending+0x412/0x4a0 Write of size 8 at addr ffff88810ac39918 by task brmc/601 __mod_timer+0x51a/0xc50 br_multicast_host_join+0x25b/0x390 __br_multicast_add_group+0x468/0x530 br_ip4_multicast_add_group+0x1a0/0x260 br_multicast_rcv+0x2cda/0x61e0 br_dev_xmit+0x6c4/0x1540 Allocated by task 610: br_vlan_add+0x111/0xb40 br_vlan_info+0x370/0x3e0 Freed by task 0: kfree+0x1a7/0x4f0 rcu_core+0x7dc/0x10a0 Yalnız aktivləşdirmə zamanı, onun yanındakı br_multicast_ctx_vlan_global_disabled() testi kimi br_vlan_is_brentry() yoxlanılır. Beləliklə, deaktiv etmə prosesi br_multicast_ctx_deinit() konteksti boşaltmazdan əvvəl həmişə br->multicast_lock altında BR_VLFLAG_MCAST_ENABLED bayrağını təmizləyir.