CVE-2026-98076

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: tracing/probes: çox sayda probu olan hadisələrin sahə adı/tipində yaranan use-after-free xətasının düzəldilməsi Prob əsaslı dinamik hadisələrin (kprobe, uprobe, eprobe və fprobe hadisələri) sahələri traceprobe_define_arg_fields() funksiyasında, probe_arg ad/tip sətirlərinin trace_define_field() funksiyasına ötürülməsi ilə yaradılır; bu funksiya sətirləri kopyalamadan yalnız göstəriciləri saxlayır. Həmin sətirlər trace_probe tərəfindən idarə olunur və prob silindikdə azad edilir. Bir hadisəyə bir neçə prob qoşula bilər. Sahələr siyahısı yalnız bir dəfə, hadisəni qeydiyyata alan ilk prob tərəfindən təyin edilir, lakin mövcud olan hər hansı digər bacı prob tərəfindən aktiv saxlanılır. Yalnız həmin birinci probun simvol vasitəsilə silinməsi - # primary A: sahələr A-nın arqumentlərindən təyin edilir echo 'p:kprobes/ev vfs_read a1=$arg1' > kprobe_events # append B: A-nın hadisə çağırışını paylaşır echo 'p:kprobes/ev vfs_write a1=$arg1' >> kprobe_events # yalnız A-nı silir (simvol ilə uyğunlaşdırılır), B qalır echo '-:kprobes/ev vfs_read' >> kprobe_events A-nın arqumentlərini azad edir (trace_probe_cleanup() -> traceprobe_free_probe_arg()), lakin prob siyahısı boş olmadığı üçün trace_probe_unlink() funksiyası trace_probe_event obyektini saxlayır. Hadisə çağırışı B vasitəsilə qeydiyyatda qalarkən, onun sahələri artıq azad edilmiş yaddaşa istinad edir. İstənilən sahə axtarışı həmin məlumatı oxuyur, məsələn: echo 'a1 == 1' > events/kprobes/ev/filter BUG: KASAN: slab-use-after-free in strcmp+0xa7/0xb0 Call Trace: strcmp trace_find_event_field parse_pred process_preds create_filter apply_event_filter event_filter_write field->name, parg->name-ə (kstrdup ilə yaradılıb, prob ilə azad edilib) və massiv arqumentləri üçün field->type, parg->fmt-ə (kmalloc ilə yaradılıb, prob ilə azad edilib) istinad edir - əks halda skalyar tip statik fmttype rodata-ya işarə edir ki, bu da təhlükəsizdir. traceprobe_define_arg_fields() funksiyasının ad və tip sətirlərini dublikat etməsi və nüsxələri hadisə çağırışını daxilinə alan və hər bir fərdi probdan daha uzun müddət mövcud qalan trace_probe_event üzərində sabitləməsi təmin edilmişdir; trace_probe_event_free() onları azad edir. Yuxarıdakı reproduksiyalı ssenari etibarlı şəkildə tetikləyir; sahə axtarışı və silmə əməliyyatı hər ikisi event_mutex altında icra olunur, buna görə də bu, yarış şərtindən (race condition) ziyadə, silinmədən sonra yaranan asılı istinaddır (dangling reference). Problem Tencent Yunding Lab-ın autokbug dinamik nüvə fuzzeri tərəfindən aşkar edilmişdir.