CVE-2026-53262

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: l2tp: pppol2tp: pppol2tp_ioctl() fonksiyonunda oturum referansının tutulması pppol2tp_ioctl(), herhangi bir kilit veya referans sayımı olmaksızın doğrudan sock->sk->sk_user_data verisini okuyordu. copy_from_user() sırasında kontrol edilebilir bir uyku durumu oluşturulursa (örneğin userfaultfd sayfa hatası uykusu aracılığıyla), eşzamanlı bir soket kapatma işlemi asenkron olarak pppol2tp_session_close() fonksiyonunu tetikleyebilirdi. Bu durum, l2tp_session yapısını l2tp_session_del_work iş kuyruğu üzerinden serbest bırakır. İşlem devam ettiğinde, ioctl iş parçacığı güncelliğini yitirmiş oturum işaretçisinin referansını çözer ve bu da Serbest Bırakıldıktan Sonra Kullanım (Use-After-Free - UAF) ile sonuçlanır. Bu sorun, giriş aşamasında RCU-güvenli ve referans sayımlı yardımcı fonksiyon olan pppol2tp_sock_to_session(sk) kullanılarak oturum referansının güvenli bir şekilde alınmasıyla düzeltilmiştir. Bu işlem, uyku süresince oturumun referans sayımını kilitler. Fonksiyon, standart hata kesmeleriyle çıkış yapacak şekilde yapılandırılmış olup, tüm dönüş yollarında referansı düşürmek için l2tp_session_put() fonksiyonunun temiz bir şekilde çağrılması garanti altına alınmıştır. Mevcut davranışı korumak adına, oturum ve sihirli imzası yalnızca bunu gerektiren belirli L2TP komutları için doğrulanmaktadır. Bu, bağlantısı olmayan bir soket üzerinde çağrılan genel/bilinmeyen ioctl'lerin hala -ENOIOCTLCMD döndürmesini ve doğru şekilde genel işleyicilere (örneğin sock_do_ioctl() içerisindekilere) geri dönmesini sağlar.