CVE-2026-80971

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: ALSA: bcd2000: bağlantı kəsildikdə URB göstəricilərini təmizləyin bcd2000_free_usb_related_resources() həm URB-ləri azad edir, həm də onların göstəricilərini saxlayır: usb_kill_urb(bcd2k->midi_out_urb); usb_kill_urb(bcd2k->midi_in_urb); usb_free_urb(bcd2k->midi_out_urb); usb_free_urb(bcd2k->midi_in_urb); rawmidi cihazı həmin çağırımdan daha uzun müddət mövcud olur. Cihaz söküldüyü zaman hələ də açıq olan altaxın (substream), bağlanma zamanı trigger yolu vasitəsilə bcd2000_midi_send() funksiyasına çatır. Həmin funksiya azad edilmiş URB-yə məlumat yazır və sonra onu USB nüvəsinə ötürür: bcd2k->midi_out_urb->transfer_buffer_length = BUFSIZE; ... ret = usb_submit_urb(bcd2k->midi_out_urb, GFP_ATOMIC); usb_kill_urb() sonrakı təqdimatı (submission) dayandırmır, buna görə də bağlantının kəsilməsi ilə eyni vaxtda baş verən təqdimat, URB yığımına alındıqdan sonra onu yenidən növbəyə sala bilər. midi_in_urb eyni şəkildə risk altındadır: bcd2000_input_complete() onu tamamlanma idarəedicisindən (completion handler) yenidən təqdim edir. 7.2.0-rc5 (arm64) versiyasında KASAN: BUG: KASAN: slab-use-after-free in bcd2000_midi_send [snd_bcd2000] Write of size 4 at addr ffff00001827d388 by task bpoc/168 __asan_store4 bcd2000_midi_send [snd_bcd2000] bcd2000_midi_output_trigger [snd_bcd2000] snd_rawmidi_kernel_write1 close_substream.part.0 Freed by task 168: usb_free_urb bcd2000_disconnect [snd_bcd2000] BUG: KASAN: slab-use-after-free in usb_submit_urb Read of size 8 at addr ffff00001827d3b8 by task bpoc/168 Azad etdikdən sonra hər iki göstəricini təmizləyin və hələ də işləyə bilən yollarda onları yoxlayın. Azad etməzdən əvvəl URB-ləri poison edin: usb_poison_urb() işləyən tamamlanma idarəedicisini gözləyir və istənilən sonrakı təqdimatı rədd edir, beləliklə, o geri döndükdən sonra giriş yolu sakitləşir və yalnız rawmidi trigger yolu bcd2000_midi_send() funksiyasına çata bilir. Unpoison prosesi tələb olunmur; URB-lər növbəti sətirdə azad edilir. XBOW tərəfindən aşkar edilmiş, Baul Lee <[email protected]> tərəfindən triaj edilmişdir.