CVE-2026-99009

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: Bluetooth: RFCOMM: sessiya soketinin rfcomm_mutex olmadan qoşulması BR/EDR bağlantısı autentifikasiya olunarkən çağırılan RFCOMM connect() funksiyası lockdep-in dairəvi asılılıq hesabatı verməsinə səbəb olur və hesabatda göstərilən dövr rfcomm_mutex və hdev->lock arasında real AB/BA bloklamasıdır. rfcomm_security_cfm() funksiyası artıq hdev->lock-a sahib olan HCI hadisə yolu vasitəsilə çağırılır: hci_rx_work() hci_event_packet() hci_cc_read_enc_key_size() [hdev->lock] hci_encrypt_cfm() [hci_cb_list_lock] rfcomm_security_cfm() [rfcomm_mutex] eyni zamanda, istifadəçi sahəsindən gələn RFCOMM connect() eyni iki kilidi əks ardıcıllıqla götürür: rfcomm_sock_connect() rfcomm_dlc_open() [rfcomm_mutex] __rfcomm_dlc_open() rfcomm_session_create() kernel_connect() l2cap_sock_connect() l2cap_chan_connect() [hdev->lock] WARNING: possible circular locking dependency detected kworker/u131:1/1128 is trying to acquire lock: rfcomm_mutex, at: rfcomm_security_cfm+0x31/0x3e0 [rfcomm] but task is already holding lock: hci_cb_list_lock, at: hci_cc_read_enc_key_size+0x1d2/0xcc0 Chain exists of: rfcomm_mutex --> &hdev->lock --> hci_cb_list_lock hci_auth_complete_evt() və hci_encrypt_change_evt() geri çağırma funksiyasına eyni yolla çatır. Hər iki ardıcıllığın eyni yükləmədə baş verməsi lazımdır, buna görə də yalnız BR/EDR bağlantısı bunu nümayiş etdirmək üçün kifayət deyil: uzaq tərəf tərəfindən qurulan sessiya krfcommd-də rfcomm_accept_connection() tərəfindən yaradılır, o isə kernel_accept()-i çağırır və heç vaxt rfcomm_mutex altında hdev->lock-u götürmür. Bağlantını autentifikasiya edən və şifrələyən bir cihazın qoşulması və sonra hər hansı ünvana doğru RFCOMM soketi üzərində connect()-in çağırılması — connect uğurlu olmasa belə, ardıcıllıq səhifə vaxtı bitmədən qeydə alınır — bunu hər dəfə hesabatlaşdırır. Yalnız sessiya soketi kilid tutulduğu halda qoşulmalıdır, lakin bu belə deyil: soket sessiya siyahısına əlavə edilməzdən əvvəl onu heç kim görə bilməz. Buna görə də, əvvəlcə onu qoşmaq və sonra rfcomm_mutex-i götürmək daha məqsədəuyğundur; bu, HCI hadisə yolunu rfcomm_mutex-dən kənar tutmaq əvəzinə, rfcomm_mutex -> hdev->lock ardıcıllığını tamamilə aradan qaldırır. rfcomm_session_create() funksiyası rfcomm_session_connect() funksiyasına çevrilir, o isə sessiya siyahısına toxunmadan qoşulmuş soketi qaytarır və rfcomm_dlc_open() kilidi yenidən tutduqda sessiyanı əlavə edir. Əgər bu soket qoşularkən digər bir açan eyni cütlük üçün sessiya əlavə edibsə, həmin sessiyadan istifadə olunur və bu soket atılır. __rfcomm_dlc_open() indi istifadə etməli olduğu sessiyanı götürür və onun vəziyyət yoxlanışı kilid yenidən əldə edildikdən sonra icra olunur, beləliklə, bu müddət ərzində açılmış və ya bağlanmış DLC hələ də idarə olunur. Mövcud ACL bağlantısı üzərində qoşulma sessiya siyahıya çatmamış tamamlana bilər və soket geri çağırmasından gələn oyandırılma itirilər, buna görə də sessiya görünən kimi krfcommd bir dəfə oyandırılır. Kilidsiz qoşulma soketin bağlana biləcəyi bir pəncərə açır. DLC hələ sessiyada olmadığı üçün rfcomm_dlc_close() görüləcək heç nə tapmır və ona toxunmadan geri dönür, rfcomm_dlc_open() isə sahibi olmayan bir DLC-ni qoşa bilərdi. İndi rfcomm_dlc_close() belə bir DLC-ni RFCOMM_CLOSED ilə işarələyir və rfcomm_dlc_open() rfcomm_mutex-i yenidən tutduqda bu işarəni yoxlayır və DLC-ni qoşmaq əvəzinə soketi atır. Açma prosesi başlayanda işarə silinir, beləliklə, yenidən istifadə olunan DLC təsirlənmir. Bu, rfcomm_dlc_open()-in hər iki çağırıcısını — soket və tty təbəqəsini əhatə edir.