CVE-2026-89569

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: Bluetooth: RFCOMM: təhlükəsizlik təsdiqləməsinin emalının seriyallaşdırılması rfcomm_security_cfm() funksiyası session_list üzərindən sessiyanı axtarır və sonra rfcomm_mutex kilidinə sahib olmadan onun DLC siyahısını nəzərdən keçirir. RFCOMM sessiyasının ləğvi rfcomm_mutex istifadə etdiyindən, krfcommd eyni sessiyanı və DLC-ləri eyni vaxtda bağlaya və azad edə bilər: hci_rx_work krfcommd ----------- --------- rfcomm_session_get() rfcomm_lock() rfcomm_session_close() rfcomm_dlc_unlink() rfcomm_session_del() kfree(s) rfcomm_unlock() walk s->dlcs Bu zaman geri çağırış (callback) funksiyası azad edilmiş sessiya siyahısının başlığını oxuya və onların bayraqlarını və ya taymerlərini yeniləyərkən azad edilmiş DLC-lərə müraciət edə bilər. Sessiya axtarışı və DLC keçidi rfcomm_security_cfm() daxilində rfcomm_mutex ilə seriyallaşdırıldı. Bu, mövcud RFCOMM sessiya ömrü qaydalarına uyğundur və geri çağırış funksiyası obyektlərdən istifadə edərkən eyni vaxtda baş verən rfcomm_session_del() / rfcomm_dlc_unlink() əməliyyatlarının həmin obyektləri ləğv etməsinin qarşısını alır. KASAN tərəfindən hesabat verilmişdir: BUG: KASAN: slab-use-after-free in rfcomm_security_cfm+0x41c/0x440 Read of size 8 at addr ffff888111fb3960 by task kworker/u17:1/89 Workqueue: hci0 hci_rx_work Call Trace: rfcomm_security_cfm+0x41c/0x440 hci_encrypt_cfm+0x139/0x590 hci_encrypt_change_evt+0x37b/0xc40 hci_event_packet+0x71b/0xb20 hci_rx_work+0x293/0x730 Allocated by task 69: rfcomm_session_add+0x9e/0x2f0 rfcomm_run+0x44b/0x41e0 Freed by task 69: kfree+0x131/0x3c0 rfcomm_session_del+0x188/0x220 rfcomm_run+0x1985/0x41e0