CVE-2026-98737

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: Bluetooth: hci_sync: Inquiry keşində use-after-free xətasının düzəldilməsi Sync əmrinin işçisi (worker) hdev->req_lock kilidini saxlayır, lakin inquiry-cache yeniləmələri və təmizlənməsi üçün hdev->lock istifadə olunur. Həm hci_acl_create_conn_sync(), həm də hci_stop_discovery_sync() funksiyaları hdev->lock kilidini götürmədən yazıları axtarır və onların sahələrini oxuyur. Axtarışlardan hər hansı biri nəticə verdikdən sonra, paralel işləyən HCIINQUIRY ioctl hdev->lock kilidini əldə edib keşi təmizləyə və yazını azad edə bilər. Daha sonra işçi, create-connection və ya remote-name-cancel əmrini hazırlayarkən azad edilmiş yazını oxuyur. Siyahının keçilməsi prosesi həmçinin keşin yenilənməsi və silinməsi ilə yarış vəziyyətinə (race condition) düşür. KASAN bu girişləri qeyd etmişdir: BUG: KASAN: slab-use-after-free in hci_acl_create_conn_sync+0x5f1/0x650 Workqueue: hci0 hci_cmd_sync_work Call Trace: hci_acl_create_conn_sync+0x5f1/0x650 hci_cmd_sync_work+0x13c/0x290 Allocated by task 90: hci_inquiry_cache_update+0x3e6/0x7d0 hci_inquiry_result_evt+0x3cb/0x560 Freed by task 93: hci_inquiry_cache_flush+0x111/0x2b0 hci_inquiry+0x2f2/0x780 hci_sock_ioctl+0x269/0x5f0 BUG: KASAN: slab-use-after-free in hci_stop_discovery_sync+0x3b1/0x3c0 Workqueue: hci0 hci_cmd_sync_work Call Trace: hci_stop_discovery_sync+0x3b1/0x3c0 hci_cmd_sync_work+0x173/0x300 Allocated by task 86: hci_inquiry_cache_update+0x483/0x940 hci_inquiry_result_evt+0x3cb/0x560 Freed by task 91: hci_inquiry_cache_flush+0x13e/0x2f0 hci_inquiry+0x2f2/0x780 hci_sock_ioctl+0x269/0x5f0 Hər bir axtarış və onun nəticəsindən edilən bütün oxumalar boyunca hdev->lock kilidi saxlanılmalıdır. Kilid açılmazdan əvvəl uzaq ünvan kopyalanmalıdır ki, discovery ləğv edilərkən keş yazı göstəricisi (pointer) qalmasın. Sinxron HCI əmrləri göndərilməzdən əvvəl kilid azad edilməlidir, çünki onların tamamlanma idarəediciləri eyni kilidə ehtiyac duya bilər.