CVE-2026-23192

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: linkwatch: UAF'yi önlemek için çağıran fonksiyonlarda __dev_put() kullanın linkwatch_do_dev(), linkwatch referansını serbest bırakmak için __dev_put() fonksiyonunu çağırdıktan sonra cihaz referans sayacı 1'e düşebilir. Bu noktada, netdev_run_todo() devam edebilir (çünkü linkwatch_sync_dev() boş bir liste görür ve engelleme yapmadan döner), netdev_wait_allrefs_any() aracılığıyla referans sayacının 1 olmasını bekler ve ardından kobject_put() ile cihazı serbest bırakır. Bu durum, __linkwatch_run_queue() halihazırda serbest bırakılmış olan cihaz üzerinde netdev_unlock_ops() fonksiyonunu çağırmaya çalıştığında bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. netdev_run_todo() içerisinde kobject_put()'dan önce netdev_lock_ops()/netdev_unlock_ops() çiftinin eklenmesinin işe yaramayacağı unutulmamalıdır; çünkü netdev_lock_ops() koşulludur ve yalnızca netdev_need_ops_lock() true döndürdüğünde kilitleme yapar. Eğer cihaz ops_lock gerektirmiyorsa, linkwatch herhangi bir kilidi tutmayacaktır ve netdev_run_todo()'nun kilidi alması senkronizasyon sağlamayacaktır. Bu sorun, __dev_put() fonksiyonunun linkwatch_do_dev()'dan onu çağıran fonksiyonlara taşınmasıyla düzeltilmiştir. Cihaz referansı mantıksal olarak cihazın listeden çıkarılması işlemiyle eşleştiğinden, çıkarma işlemini yapan çağırıcının bunu serbest bırakması makuldür. Bu, __dev_put()'un tüm cihaz erişimleri tamamlandıktan sonra yerleştirilmesine olanak tanıyarak UAF'yi önler. Hata, __linkwatch_run_queue() içerisindeki linkwatch_do_dev()'dan sonra mdelay(2000) ekleyerek ve ardından şunları çalıştırarak yeniden üretilebilir: ip tuntap add mode tun name tun_test ip link set tun_test up ip link set tun_test carrier off ip link set tun_test carrier on sleep 0.5 ip tuntap del mode tun name tun_test KASAN raporu: ================================================================== BUG: KASAN: use-after-free in netdev_need_ops_lock include/net/netdev_lock.h:33 [inline] BUG: KASAN: use-after-free in netdev_unlock_ops include/net/netdev_lock.h:47 [inline] BUG: KASAN: use-after-free in __linkwatch_run_queue+0x865/0x8a0 net/core/link_watch.c:245 Read of size 8 at addr ffff88804de5c008 by task kworker/u32:10/8123 CPU: 0 UID: 0 PID: 8123 Comm: kworker/u32:10 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Workqueue: events_unbound linkwatch_event Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x100/0x190 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x156/0x4c9 mm/kasan/report.c:482 kasan_report+0xdf/0x1a0 mm/kasan/report.c:595 netdev_need_ops_lock include/net/netdev_lock.h:33 [inline] netdev_unlock_ops include/net/netdev_lock.h:47 [inline] __linkwatch_run_queue+0x865/0x8a0 net/core/link_watch.c:245 linkwatch_event+0x8f/0xc0 net/core/link_watch.c:304 process_one_work+0x9c2/0x1840 kernel/workqueue.c:3257 process_scheduled_works kernel/workqueue.c:3340 [inline] worker_thread+0x5da/0xe40 kernel/workqueue.c:3421 kthread+0x3b3/0x730 kernel/kthread.c:463 ret_from_fork+0x754/0xaf0 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:246 </TASK> ==================================================================