CVE-2026-99010

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: Bluetooth: RFCOMM: DLC-nin sahibi olmadıqda skb-ni azad edin rfcomm_recv_data() funksiyası skb-ni d->data_ready()-ə ötürür və onu azad etmədən 0 qaytarır, beləliklə həmin andan etibarən skb callback-ə məxsus olur. TTY implementasiyası DLC cihazından ayrıldıqda onu azad edir: static void rfcomm_dev_data_ready(struct rfcomm_dlc *dlc, struct sk_buff *skb) { struct rfcomm_dev *dev = dlc->owner; if (!dev) { kfree_skb(skb); return; } Socket implementasiyası isə onu azad etmədən geri qayıdır və skb sızır (leak). Qoşulmuş bir DLC-nin sahibi olmaya bilər: rfcomm_sock_destruct() d->owner-i təmizləyir, lakin DLC özü bağlanana qədər sessiyada qalır. Həmin zaman intervalında gələn məlumat freymləri hələ də rfcomm_recv_data()-da d->state == BT_CONNECTED vəziyyətini tapır və callback-ə ötürülür ki, bu da hər dəfə bir skb-nin sızmasına səbəb olur. Sızıntı öz-özünə dayanmır. Uzaq tərəfdə kreditlər yalnız RFCOMM_RX_THROTTLED təyin edildikdə bitir və socket üçün bunu təyin edən yeganə yer return əmrindən aşağıda yerləşən rfcomm_sk_data_ready() funksiyasının özüdür. rfcomm_process_dlcs() kredit verməyə davam edir, buna görə də uzaq tərəf göndərməyi davam etdirir və sızıntı artmağa davam edir. TTY tərəfində olduğu kimi, skb-ni azad edin.