CVE-2026-64541

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net/smc: soketin sabitlenmesiyle smc_cdc_rx_handler() fonksiyonundaki UAF hatası düzeltildi smc_cdc_rx_handler(), bağlantıyı link grubunun conns_lock kilidi altında token ile arar, kilidi bırakır ve ardından conn ile bundan türetilen smc_sock referanslarını çözer; bu işlem smc_cdc_msg_recv() içerisindeki sock_hold(&smc->sk) çağrısı ile sona erer. Kilit serbest bırakıldığında herhangi bir referans tutulmamaktadır. Bağlantı link grubu içinde keşfedilebilir durumdayken soketi sabitleyen tek referans, her ikisi de conns_lock altında olan smc_lgr_register_conn() (sock_hold) fonksiyonunda alınmakta ve __smc_lgr_unregister_conn() (sock_put) fonksiyonunda bırakılmaktadır. İşleyici conns_lock kilidini bıraktığında, eşzamanlı bir close() -> smc_release() -> smc_conn_free() -> smc_lgr_unregister_conn() işlemi bu referansı düşürebilir ve smc_sock yapısını serbest bırakabilir; böylece işleyicinin daha sonra çağırdığı sock_hold() işlemi serbest bırakılmış bellek üzerinde çalışır: WARNING: lib/refcount.c:25 at refcount_warn_saturate Workqueue: rxe_wq do_work refcount_warn_saturate (lib/refcount.c:25) smc_cdc_msg_recv (net/smc/smc_cdc.c:430) smc_cdc_rx_handler (net/smc/smc_cdc.c:502) smc_wr_rx_tasklet_fn (net/smc/smc_wr.c:445) tasklet_action_common (kernel/softirq.c:938) handle_softirqs (kernel/softirq.c:622) Kernel panic - not syncing: panic_on_warn set Yalnızca SMC-R etkilenmektedir. SMC-D alma tasklet'i, bağlantı kaydı silinmeden önce smc_conn_free() içindeki tasklet_kill(&conn->rx_tsklet) tarafından durdurulduğu için serbest bırakma işlemiyle eşzamanlı olarak çalışamaz. Kayıt referansının artık son referans olmaması için soket referansı hala conns_lock tutulurken alınmalı ve işleyici işlemini tamamladığında bırakılmalıdır.