CVE-2026-99014

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: Bluetooth: hci_sync: Skan quraşdırılması zamanı əmr skb ömrünün düzəldilməsi PA sinxron skan quraşdırılması zamanı, hci_le_set_ext_scan_param_sync() funksiyası PA_LINK axtarışı üçün istifadə olunan ünvanı hci_sent_cmd_data()-dan alır. Qayıdan göstərici, heç bir skb-yə istinad saxlamadan, yaddaşı sent_cmd və ya req_skb-dən borc alır. Skan işçisi (worker) req_workqueue üzərində, hci_cmd_work() isə ayrıca cihaz iş növbəsində (device workqueue) çalışır. Skan işçisi sent_cmd-ni yüklədikdən sonra, əmr işçisi hci_sent_cmd_data() skb-ni dereference etməzdən əvvəl onu azad edib dəyişdirə bilər. Əmr faydalı yükü (payload) həmçinin köməkçi funksiyadan qayıdışla ünvanın müqayisəsi arasında azad edilə bilər. Bağlantı axtarışının RCU kritik bölməsi əmr skb-sini qorumur. KASAN aşağıdakıları bildirdi: BUG: KASAN: slab-use-after-free in hci_sent_cmd_data+0x27c/0x2f0 Workqueue: hci0 hci_cmd_sync_work Call Trace: hci_sent_cmd_data+0x27c/0x2f0 hci_le_set_scan_param_sync+0x43a/0x850 hci_passive_scan_sync+0xb09/0x1460 hci_update_passive_scan_sync+0x47c/0x6e0 hci_le_pa_create_sync+0x200/0xa70 hci_cmd_sync_work+0x13c/0x290 Allocated by task 95: skb_clone+0x13f/0x340 hci_cmd_work+0x2a9/0x7e0 Freed by task 95: kmem_cache_free+0xba/0x3a0 hci_cmd_work+0x29c/0x7e0 Ünvan şabloneunun sent_cmd dəyişdirilməsi ilə ardıcıllığını təmin etmək üçün hdev->lock istifadə edin. req_skb dəyişdirilməsini və tamamlanma təmizlənməsini eyni kilidlə qoruyun, çünki köməkçi funksiya həmin skb-yə geri dönür. Kilidi buraxmazdan əvvəl ünvanı kopyalayın və mövcud RCU-qorunalı bağlantı axtarışı üçün bu kopiyadan istifadə edin. Axtarış və tamamlanma ardıcıllığını qoruyaraq, əmrləri göndərməzdən və ya gözləməzdən əvvəl mutex-i azad edin.