CVE-2026-64584

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: usb: gadget: f_midi: midi nesnesi serbest bırakılmadan önce bekleyen IN işini iptal et f_midi sürücüsü, işleyicisi olan f_midi_in_work()'in container_of() aracılığıyla çevreleyen struct f_midi yapısını dereferans ettiği bir iş öğesi (midi->work) içerir. Bu iş iki noktadan etkinleştirilir: normal bir IN-uç nokta tamamlanmasında f_midi_complete() ve bir ALSA rawmidi çıkış akışı başlangıcında f_midi_in_trigger(). Ne f_midi_disable() ne de f_midi_unbind() midi->work işlemini iptal eder. f_midi_disable() yalnızca uç noktaları devre dışı bırakır ve in_req_fifo kuyruğunu boşaltır; iş öğesini senkronize etmez ve ses kartı, midi nesnesinin nihai olarak serbest bırakılmasına asenkron olarak bırakılır. midi nesnesi referans sayımlıdır (midi->free_ref) ve hem usb_function referansı hem de rawmidi private_data referansı bırakıldıktan sonra yalnızca f_midi_free() içinde serbest bırakılır. f_midi_unbind() işleminde, f_midi_disable() ses kartı serbest bırakılmadan önce çalışır; bu nedenle USB uç noktaları zaten devre dışı bırakılmış olsa da rawmidi aygıtı açık bir alt akış tarafından hala kullanılabilir durumdadır. Böyle bir alt akış üzerindeki eşzamanlı bir kullanıcı alanı yazma işlemi, f_midi_disable() döndükten sonra f_midi_in_trigger()'a ulaşabilir ve midi->work işlemini yeniden kuyruğa alabilir. Bu şekilde etkinleştirilen bir iş öğesi, son referans düştüğünde ve f_midi_free() kfree(midi) işlemini gerçekleştirdiğinde hala beklemede olabilir; bu durum f_midi_in_work()'in yapı serbest bırakıldıktan sonra onu dereferans etmesine yol açarak bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına neden olur. Bu nedenle, f_midi_disable() içinde midi->work işleminin iptal edilmesi yeterli olmayacaktır: ALSA tetikleme yolu, disable() döndükten sonra işi yeniden etkinleştirebilir. Referans sayımının sıfır olduğu serbest bırakma noktasındaki iptal işlemi, hiçbir etkinleştirme kaynağının hayatta kalamayacağı sınırdır; çünkü o ana kadar midi nesnesini canlı tutan her iki referans da düşürülmüştür: USB uç noktaları zaten devre dışı bırakılmıştır ve rawmidi aygıtı serbest bırakılmıştır. Bu sorun, gömülü work_struct yapısı geri kalan yapı ile birlikte serbest bırakılmadan önce, f_midi_free()'nin referans sayımı sıfır bloğunda cancel_work_sync(&midi->work) çağrılarak düzeltilmiştir. opts->lock uyuyan bir mutex olduğundan altında cancel_work_sync() çağırmak izin verilen bir işlemdir ve işleyici opts->lock yerine midi->transmit_lock kullandığından, çalışan bir iş örneğinin bitmesini beklerken herhangi bir kendi kendine kilitlenme (self-deadlock) durumu oluşmaz. Bu sorun kurum içi bir statik analiz aracı tarafından tespit edilmiştir.