CVE-2025-68331

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: usb: uas: devam eden veri aktarımı sırasında uas aygıtı kaldırıldığında oluşan urb eşleme kaldırma sorunu düzeltildi Veri aktarımı sırasında bir UAS aygıtının bağlantısı kesildiğinde, sistem paniği oluşma olasılığı vardır. Kök neden, URB geri çağırma işlemi sırasında geçersiz bir bellek adresine erişilmesidir. Spesifik olarak bu durum, usb_hcd_unmap_urb_for_dma() arayüzü içinde dma_direct_unmap_sg() fonksiyonu çağrıldığında, ancak sg->dma_address alanının 0 olduğu ve sg veri yapısının halihazırda serbest bırakıldığı durumlarda meydana gelir. SCSI sürücüsü, istekleri USB'ye iletmek için uas_submit_urbs() fonksiyonunu kullanarak uas.c dosyasındaki uas_queuecommand_lck() fonksiyonunu çağırarak aktarım komutları gönderir. uas_submit_urbs() uygulaması kapsamında üç URB (sense_urb, data_urb ve cmd_urb) sırayla iletilir. Aygıt kaldırma işlemi uas_submit_urbs yürütülmesinin herhangi bir noktasında gerçekleşebilir ve bu durum URB iletim hatasına yol açabilir. Ancak, hata oluşmadan önce bazı URB'ler başarıyla iletilmiş olabilir ve bu durumda uas_submit_urbs, -ENODEV hata kodunu döndürür. Mevcut hata yönetimi doğrudan scsi_done() fonksiyonunu çağırır. SCSI sürücüsünde bu işlem, nihayetinde sgtable'ın serbest bırakılması için scsi_end_request()'i çağıran scsi_complete()'i tetikler. Başarıyla iletilen URB'ler, iade edilmek üzere bağlantıları kesildiğinde hcd.c içindeki usb_hcd_unmap_urb_for_dma() fonksiyonunu çağırır; sg veri yapısı zaten serbest bırakılmış olduğundan, sg eşleme kaldırma işlemleri sırasında istisnalara yol açar. Bu yama, uas_submit_urbs() fonksiyonundaki hata durumu kontrolünü değiştirir. Bir UAS aygıtı kaldırıldığında ancak bir veya daha fazla URB USB'ye başarıyla iletilmişse, hemen scsi_done() fonksiyonunun çağrılmasını önler ve cmnd bilgisini devinfo->cmnd dizisine kaydeder. Eğer başarıyla iletilen URB'ler, devinfo->resetting ayarlanmadan önce tamamlanırsa, tüm bekleyen URB işlemleri kesinleştikten sonra uas_try_complete() içinde scsi_done() fonksiyonu çağrılır. Aksi takdirde, scsi_done() fonksiyonu, usb_kill_anchored_urbs() işleminden sonra yürütülen uas_zap_pending() içinde çağrılır. Hata yönetimi yalnızca uas_queuecommand_lck(), uas_submit_urbs() fonksiyonunu çağırdığında ve -ENODEV hata değerini döndürdüğünde etkili olur. Bu durumda aygıtın bağlantısı kesilir ve akış, uas_try_complete()'i çağırmak için uas_zap_pending()'in yürütüldüğü uas_disconnect() fonksiyonuna geçer.