CVE-2026-98366

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: RDMA/rxe: MR-in PD-sini dəyişməzdən əvvəl giriş bayraqlarını yoxlayın rxe_rereg_user_mr() funksiyası əvvəlcə mr->ibmr.pd-ni yenidən təyin edir və yalnız bundan sonra IB_MR_REREG_ACCESS arqumentini yoxlayır: if (flags & IB_MR_REREG_PD) { rxe_put(old_pd); rxe_get(pd); mr->ibmr.pd = ibpd; } if (flags & IB_MR_REREG_ACCESS) { if (access & ~RXE_ACCESS_SUPPORTED_MR) return ERR_PTR(-EOPNOTSUPP); mr->access = access; } Hər iki bayraq giriş yoxlamasından keçir, çünki RXE_MR_REREG_SUPPORTED = IB_MR_REREG_PD | IB_MR_REREG_ACCESS-dir, buna görə də çağırıcı mr->ibmr.pd artıq yenidən təyin edilmiş halda giriş yoxlamasına çata bilər. mr->ibmr.pd nüvə tərəfindən idarə olunur və o, pd->usecnt-i yalnız uğurlu yol zamanı tənzimləyir: ib_uverbs_rereg_mr() drayver xətası baş verdikdə, yenidən təyinatı ləğv etmədən birbaşa put_new_uobj funksiyasına keçir, beləliklə, usecnt-lər hələ də MR-i orig_pd ilə əlaqələndirsə də, mr->pd == new_pd olur. Daha sonra ib_dereg_mr_user() new_pd-ni azaldır və yaddaş pəncərəsi hələ də ona istinad edərkən onun sayğacı sıfıra çata bilər; uverbs_free_pd() yalnız həmin sayğaca əsaslanaraq PD-ni azad edir və rxe_mw_cleanup() azad edilmiş yaddaşa yazı yazır: BUG: KASAN: slab-use-after-free in __rxe_put+0x31/0xa0 Write of size 4 at addr ffff8881301dd690 by task rxe_poc/591 __rxe_put+0x31/0xa0 rxe_mw_cleanup+0x42/0x200 __rxe_cleanup+0x115/0x370 rxe_dealloc_mw+0x4c/0x80 Allocated by task 591: ib_uverbs_alloc_pd+0x258/0x540 Freed by task 591: ib_dealloc_pd_user+0x174/0x210 uverbs_free_pd+0x8d/0xc0 ib_uverbs_dealloc_pd+0x18e/0x1d0 Hər hansı bir vəziyyəti dəyişməzdən əvvəl giriş bayraqlarını yoxlayın ki, geri çağırma (callback) ya bütün sorğu edilən dəyişiklikləri tətbiq etsin, ya da heç birini.