CVE-2026-80975

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: mfd: qnap-mcu: cavab buferini əmr vaxtının bitməsindən (timeout) sonra aktiv saxlayın qnap_mcu_exec() funksiyası stek üzərindəki buferi qəbul yoluna təqdim edir: unsigned char rx[QNAP_MCU_RX_BUFFER_SIZE]; ... reply->data = rx; reply->length = length; və qnap_mcu_receive_buf() funksiyası serdev qəbul yolu vasitəsilə bura məlumat yazır. Bu proses flush_to_ldisc() daxilində işləyir və qnap_mcu_exec() ilə heç bir şəkildə ardıcıllığa salınmayıb. bus_lock bunu əhatə edə bilmir, çünki qnap_mcu_exec() həmin mutexi wait_for_completion_timeout() boyunca saxlayır. Vaxt bitdikdə (timeout), qnap_mcu_exec() reply->data hələ də öz kadrına (frame) işarə etdiyi halda geri dönür. Gec gələn cavab və ya MCU-dan gələn istənilməyən mesaj daha sonra artıq tərk edilmiş stek kadrına yazılır və həmin stekdə növbəti işləyən hər hansı məlumatı korlayır. Eyni hal qnap_mcu_write() uğursuz olduqda da baş verir, çünki həmin yol da reply vəziyyətinə toxunmadan geri dönür. Qəbul buferini struct qnap_mcu daxilinə köçürün. Onun ölçüsü 37 baytdır və struktur devm_kzalloc() ilə ayrıldığı üçün drayver mövcud olduğu müddət ərzində yaşayır; beləliklə, gecikmiş yazı hələ də etibarlı olan yaddaşa düşür və növbəti əmr tərəfindən yenidən başladılır. bus_lock əmrlərin onu paylaşmasının qarşısını alır. Bu, qəsdən timeout yolunda reply->data və ya reply->length dəyərlərini sıfırlamır. Bunu etmək qnap_mcu_receive_buf() ilə yarış vəziyyətinə (race condition) səbəb olar, çünki həmin funksiya aşağıdakı yoxlamadan sonra hər ikisini oxuyur: if (!reply->length) return size; Yoxlama: reply->data-nın sıfırlanması NULL dereference-ə, yalnız reply->length-in sıfırlanması isə reply->received == reply->length çıxış şərtinin silinməsinə səbəb olur, nəticədə kopyalama dövrü uart hissəsi tükənənə qədər davam edir və buferdən kənara çıxır (overrun). Hər ikisinin təyin olunmuş halda qalması yazmanı reply->length ilə məhdudlaşdırır ki, qnap_mcu_exec() bunu artıq sizeof(mcu->rx) ilə yoxlamışdır.