CVE-2026-46015

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: tcp: dinleyici taşımasından sonra sk_data_ready() çağrısı inet_csk_listen_stop(), kurulmuş bir alt soketi kapanmakta olan bir dinleyiciden aynı SO_REUSEPORT grubundaki başka bir sokete taşıdığında, hedef dinleyici inet_csk_reqsk_queue_add() aracılığıyla yeni bir kabul kuyruğu girişi alır ancak bu yol hedef dinleyicinin bekleyenlerini asla bilgilendirmez. Bloklamayan accept() doğrudan kuyruğu kontrol ettiği için çalışmaya devam eder, fakat poll()/epoll_wait() bekleyenleri ve bloklayan accept() çağrıları süresiz olarak uykuda kalabilir. inet_csk_listen_stop() içerisindeki başarılı bir taşımanın ardından READ_ONCE(nsk->sk_data_ready)(nsk) çağrılmalıdır. Ancak, inet_csk_reqsk_queue_add() başarıyla tamamlandıktan sonra, reuseport_migrate_sock() içinde alınan referans etkili bir şekilde nreq->rsk_listener'a aktarılır. Ardından başka bir CPU, accept() veya dinleyici kapatma yoluyla nreq'i kuyruktan çıkarabilir, reqsk_put()'a ulaşabilir ve söz konusu dinleyici referansını düşürebilir. Dinleyiciler SOCK_RCV_FREE olduğu için, queue_add() sonrası nsk dereferans işlemleri, aynı yoldaki mevcut sock_net(nsk) erişimini de kapsayacak şekilde rcu_read_lock()/rcu_read_unlock() ile sarmalanmıştır. reqsk_timer_handler() yolu iki nedenden dolayı aynı değişikliklere ihtiyaç duymaz: yarı açık istekler yalnızca son ACK'den sonra okunabilir hale gelir ve burada tcp_child_process() zaten dinleyiciyi uyandırır; ayrıca nreq, inet_ehash_insert() aracılığıyla görünür olduğunda, başarı yolu artık nsk'ya doğrudan dokunmaz.