CVE-2026-63826

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: fbdev: store_modes() fonksiyonundaki serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi store_modes(), bir framebuffer'ın modelistesini kullanıcı alanından gelen modlarla değiştirir. İşlem başarılı olduğunda eski modelistesi fb_destroy_modelist() ile serbest bırakılır. Ancak iki alan hala bu serbest bırakılan listeyi işaret etmeye devam eder. İşaretçilerden biri, bir konsolun kullandığı modu belirten fb_display[i].mode'dur. fbcon_new_modelist(), bu işaretçileri yeni listeye taşır; ancak bunu yalnızca hala framebuffer'a eşlenmiş olan konsollar için yapar. Eşlenmemiş bir konsol atlanır ve bayat işaretçisini korur. Örneğin, fbcon bağının kesilmesi con2fb_map[i] değerini -1 olarak ayarlar ancak fb_display[i].mode değerinin ayarlı kalmasına neden olur. Daha sonra FB_ACTIVATE_INV_MODE içeren bir FBIOPUT_VSCREENINFO ioctl çağrısı fbcon_mode_deleted() fonksiyonuna ulaşır. Bu fonksiyon, fb_mode_is_equal() aracılığıyla bayat fb_display[i].mode değerini okur. Bu okuma işlemi bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasıdır. Diğer işaretçi ise mevcut modu belirten fb_info->mode'dur. Bu, mode sysfs özniteliği üzerinden ayarlanır. store_modes() fonksiyonu fb_info->mode değerini güncellemez, bu nedenle serbest bırakılan listeyi işaret etmeye devam eder. Özniteliğin okuma yöneticisi olan show_mode(), mode_string() aracılığıyla bayat fb_info->mode değerini çözümler. Bu okuma işlemi bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasıdır. Listeyi serbest bırakmadan önce her iki işaretçiyi de temizleyin. a1f305893074 ("fbcon: Set fb_display[i]->mode to NULL when the mode is released") commit'i, belirli bir listeyi işaret eden her fb_display[i].mode değerini temizleyen fbcon_delete_modelist() yardımcı fonksiyonunu eklemiştir. Şimdiye kadar bu fonksiyon yalnızca kayıt silme yolu üzerinden çağrılmaktaydı. Bu fonksiyonu store_modes() içerisinden de çağırın ve fb_info->mode değerini NULL olarak ayarlayın.