CVE-2026-89847

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: scsi: qla2xxx: async IOCB taymautunda ikiqat tamamlanmanın qarşısının alınması qla2x00_async_iocb_timeout() funksiyası vaxtı bitmiş async IOCB-ni ləğv etməyə çalışır. qla24xx_async_abort_cmd() uğursuz olduqda, həm SRB_LOGIN_CMD yolu, həm də SRB_CTRL_VP/default yolu SRB üçün outstanding_cmds[] massivini skan edir və sonra SRB-nin həqiqətən tapılıb-tapılmadığını və ya silinib-silinmədiyini yoxlamadan şərtsiz olaraq sp->done(sp, QLA_FUNCTION_TIMEOUT) funksiyasını çağırır. Əgər cavab ISR eyni handle-i birinci tamamlayarsa, o, qp_lock_ptr altında SRB-ni silir və sp->done() -> complete(sp->comp) funksiyalarını işə salır. Göndərən qla24xx_control_vp() funksiyası wait_for_completion()-dən oyandırılır, sp->comp-ni təmizləyir, istinadını silir və geri dönərək stekdəki tamamlanmanı bərpa edir. Taymer istinadı SRB-ni taymaut idarəçisi boyunca aktiv saxlayır, lakin göndərənin stekini saxlamır. Daha sonra taymaut ikinci bir sp->done() -> qla_ctrlvp_sp_done() çağırışı edir ki, bu da "if (sp->comp) complete(sp->comp)" şərtini qiymətləndirir; göstərici göndərənin NULL yazmasından əvvəl yükləndiyi üçün complete() azad edilmiş stek freyminə yazı yazır ki, bu da use-after-free xətasına səbəb olur. Bu yolun SRB-ni outstanding_cmds-dən silib-silmədiyini izləyin və sp->done() funksiyasını yalnız silindiyi halda çağırın, beləliklə əmr onu sahiblənən yol tərəfindən yalnız bir dəfə tamamlanır. Bu, artıq qla24xx_abort_iocb_timeout()-da istifadə edilən sp_found mühafizəsinin analoqudur.