CVE-2026-52982

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: net: usb: rtl8150: rtl8150_start_xmit() fonksiyonundaki serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi syzbot, usb_submit_urb() çağrıldıktan sonra tx istatistikleri için skb->len değerine erişilirken rtl8150_start_xmit() içerisinde bir KASAN slab-use-after-free okuma hatası bildirmiştir: BUG: KASAN: slab-use-after-free in rtl8150_start_xmit+0x71f/0x760 drivers/net/usb/rtl8150.c:712 Read of size 4 at addr ffff88810eb7a930 by task kworker/0:4/5226 URB tamamlanma işleyicisi olan write_bulk_callback(), dev_kfree_skb_irq(dev->tx_skb) aracılığıyla skb'yi serbest bırakır. URB, gönderici tarafında usb_submit_urb() geri dönmeden önce başka bir CPU'da softirq bağlamında tamamlanabilir; bu nedenle gönderici skb->len değerini okuduğunda, skb çoktan işlemciye özel completion_queue'ya eklenmiş ve net_tx_action() tarafından serbest bırakılmış olur: CPU A (xmit) CPU B (USB completion softirq) ------------ ------------------------------ dev->tx_skb = skb; usb_submit_urb() --+ |-------> write_bulk_callback() | dev_kfree_skb_irq(dev->tx_skb) | net_tx_action() | napi_skb_cache_put() <-- free netdev->stats.tx_bytes | += skb->len; <-- UAF read Bu sorun, URB gönderilmeden önce skb->len değeri önbelleğe alınarak ve tx_bytes sayacı güncellenirken bu önbelleğe alınmış değer kullanılarak düzeltilmiştir. Mevcut tx_bytes semantiği korunmuştur: sayaç, cihaza iletilen ETH_ZLEN/USB hizalama dolgulu "count" değerini değil, orijinal çerçeve uzunluğunu (skb->len) takip eder. Bunu değiştirmek kullanıcı tarafından fark edilebilir bir muhasebe değişikliği olacaktır ve bu UAF düzeltmesinin kapsamı dışındadır.