CVE-2025-40002

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: thunderbolt: tb_dp_dprx_work içindeki serbest bırakıldıktan sonra kullanım hatası düzeltildi Özgün kod, tb_dp_dprx_stop() içindeki cancel_delayed_work() işlevine dayanmaktadır; bu işlev, gecikmeli iş öğesi tunnel->dprx_work zaten çalışıyorsa tamamen tamamlandığını garanti etmez. Bu durum, tb_tunnel tb_tunnel_put() tarafından serbest bırakılırken tunnel->dprx_work öğesinin etkin kalması ve tb_dp_dprx_work() içinde tb_tunnel öğesine başvurmaya çalışmasıyla serbest bırakıldıktan sonra kullanım senaryolarına yol açar. Tipik bir yarış durumu aşağıda gösterilmiştir: CPU 0 | CPU 1 tb_dp_tunnel_active() | tb_deactivate_and_free_tunnel()| tb_dp_dprx_start() tb_tunnel_deactivate() | queue_delayed_work() tb_dp_activate() | tb_dp_dprx_stop() | tb_dp_dprx_work() //delayed worker cancel_delayed_work() | tb_tunnel_put(tunnel); | | tunnel = container_of(...); //UAF | tunnel-> //UAF cancel_delayed_work() işlevinin cancel_delayed_work_sync() ile değiştirilmesi, kilitlenmeye yol açacağından uygulanabilir değildir: hem tb_dp_dprx_work() hem de temizleme yolu tb->lock kilidini alır ve cancel_delayed_work_sync() ilerleyemeyen iş öğesini süresiz olarak bekler. Bunun yerine uygun başvuru sayımı uygulanmıştır: - cancel_delayed_work() true döndürürse (iş beklemedeyse), başvuruyu durdurma işlevinde serbest bırakırız. - false döndürürse (iş yürütülüyorsa veya zaten tamamlanmışsa), başvuru gecikmeli iş işlevinin kendisinde serbest bırakılır. Bu, bellek sızıntılarını önlerken iş öğesinin yürütülmesi sırasında tb_tunnel öğesinin geçerli kalmasını sağlar. Bu hata statik analiz ile bulunmuştur.