CVE-2026-10663

Zephyr'in deneysel USB host yığınında (CONFIG_USB_HOST_STACK), usbh_device_disconnect() (subsys/usb/host/usbh_device.c), önbelleğe alınmış ctx->root işaretçisini temizlemeden kök usb_device slab nesnesini serbest bıraktı. Veriyolu kaldırma işleyicisi dev_removed_handler() (subsys/usb/host/usbh_core.c), neleri yıkacağına yalnızca ctx->root üzerinden karar verir ve sadece NULL olmadığını kontrol eder. UHC denetleyici sürücüleri (örneğin uhc_max3421e, uhc_mcux_common), UHC_EVT_DEV_REMOVED olayını herhangi bir debounce veya durum koruması olmaksızın doğrudan fiziksel veriyolu hattı durumundan sentezlediği için, fiziksel USB erişimine sahip bir saldırgan (veya bağlantısını kestirip tekrar kuran kötü niyetli bir cihaz), kök cihaz bağlantısı kesildikten sonra ikinci bir cihaz-kaldırıldı olayı tetikleyebilir. İşleyici daha sonra sarkan işaretçi ile usbh_device_disconnect() fonksiyonuna yeniden girer, serbest bırakılan nesne içindeki bir mutex'i kilitler (use-after-free), serbest bırakılan düğümü cihaz listesinden kaldırır ve zaten serbest bırakılmış blok üzerinde k_mem_slab_free() çağrısında bulunur (double-free). Eğer slab bloğu bu süre zarfında yeni bağlanan bir cihaza yeniden atanmışsa, bu durum canlı bir nesneyi bozar. Etki, hizmet reddi (çökme) ve bellek bozulmasıdır; saldırı vektörü fiziksel/yereldir. Hata, v4.4.0 sürümünde bağlanma/bağlantıyı kesme yeniden yapılandırmasıyla ortaya çıkmıştır ve usbh_device_disconnect() içerisinde serbest bırakmadan önce ctx->root değerinin temizlenmesiyle düzeltilmiştir.