CVE-2026-43050

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: atm: lec: sock_def_readable() fonksiyonundaki serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi lec_atm_close() fonksiyonunun priv->lecd değerini NULL olarak ayarlaması ile send_to_lecd(), lec_handle_bridge() ve lec_atm_send() fonksiyonlarındaki eş zamanlı priv->lecd erişimi arasında bir yarış durumu (race condition) mevcuttur. Bir iş parçacığı soketi hala kullanırken soketin RCU aracılığıyla serbest bırakılması durumunda, sock_def_readable() fonksiyonu soketin bekleme kuyruğuna erişirken bir serbest bırakıldıktan sonra kullanım (use-after-free) durumu oluşur. Kök neden, lec_atm_close() fonksiyonunun herhangi bir senkronizasyon olmadan priv->lecd değerini temizlemesi, çağıranların ise eş zamanlı yıkıma karşı herhangi bir koruma olmaksızın priv->lecd referansını çözmesidir. Bu sorun, priv->lecd bir RCU korumalı işaretçiye dönüştürülerek düzeltilmiştir: - lec.h dosyasında priv->lecd __rcu olarak işaretlendi - Güvenli işaretçi ataması için lec_atm_close() ve lecd_attach() fonksiyonlarında rcu_assign_pointer() kullanıldı - lec_start_xmit(), lec_push(), send_to_lecd() ve lecd_attach() fonksiyonlarında, işaretçinin referansını çözmeyen NULL kontrolleri için rcu_access_pointer() kullanıldı - lecd yapısına güvenli erişim sağlamak için send_to_lecd(), lec_handle_bridge() ve lec_atm_send() fonksiyonlarında rcu_read_lock/rcu_dereference/rcu_read_unlock kullanıldı - Devam etmeden önce tüm okuyucuların tamamlandığından emin olmak için lec_atm_close() fonksiyonunda rcu_assign_pointer() ardından synchronize_rcu() kullanıldı. lec_atm_close() fonksiyonu, uyuyan bir kilit olan lock_sock() kilidini tutan vcc_release() tarafından çağrıldığı için bu işlem güvenlidir. - vcc_destroy_socket() zaten lec_atm_close() döndükten sonra boşaltma işlemini gerçekleştirdiği için lec_atm_close() içerisindeki manuel sk_receive_queue boşaltma işlemi kaldırıldı. v2: Yarış durumunu uygun şekilde düzeltmek için spinlock + sock_hold/put yaklaşımından RCU'ya geçildi. Eric Dumazet tarafından belirtilen v1 spinlock yaklaşımının iki sorunu vardı: 1. priv->lecd değerine yerel bir kopya kullanmak yerine, kilit serbest bırakıldıktan sonra hala doğrudan erişiliyordu. 2. Timer ve workqueue yolları netif_stop_queue() fonksiyonunu baypas ettiği için, spinlock, lec_atm_close() sk_receive_queue'yu boşalttıktan sonra paketlerin kuyruğa alınmasını engellemiyordu. Not: Syzbot yama testi denenmiş ancak test VM'si muhtemelen bu düzeltmeyle ilgisi olmayan bir QEMU AHCI emülasyon sorunu nedeniyle "Connection to localhost closed by remote host" hatasıyla beklenmedik şekilde sonlanmıştır. "make W=1 net/atm/lec.o" ile yapılan derleme testi başarıyla tamamlanmıştır.