CVE-2026-68188

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: RFCOMM: set_termios fonksiyonundaki session serbest bırakıldıktan sonra kullanım (UAF) hatası düzeltildi rfcomm_tty_set_termios(), rfcomm_mutex olmadan dlc->session kontrolü yapar ve daha sonra işaretçiyi rfcomm_send_rpn() fonksiyonuna iletir. İkinci fonksiyon hem session->initiator hem de session->sock referanslarını çözer. Bu sırada krfcommd, rfcomm_mutex kilidine sahipken DLC bağlantısını kesebilir ve session nesnesini serbest bırakabilir. Yarış durumu şu şekilde gerçekleşebilir: TTY ioctl görevi krfcommd -------------- -------- dlc->session yükle rfcomm_send_rpn() giriş yap rfcomm_mutex kilitle dlc->session temizle session serbest bırak rfcomm_mutex kilidini aç session->initiator oku KASAN raporu: BUG: KASAN: slab-use-after-free in rfcomm_send_rpn+0x297/0x2a0 Read of size 4 at addr ffff88810012a850 by task poc/92 Call Trace: rfcomm_send_rpn+0x297/0x2a0 rfcomm_tty_set_termios+0x50d/0x850 tty_set_termios+0x596/0x950 set_termios+0x46a/0x6e0 tty_mode_ioctl+0x152/0xbd0 tty_ioctl+0x915/0x1240 __x64_sys_ioctl+0x134/0x1c0 Allocated by task 92: rfcomm_session_add+0x9e/0x2e0 rfcomm_dlc_open+0x8b1/0xe00 rfcomm_dev_activate+0x85/0x1a0 rfcomm_tty_open+0x90/0x280 Freed by task 68: kfree+0x131/0x3c0 rfcomm_session_del+0x119/0x180 rfcomm_run+0x737/0x4710 DLC'nin hala bağlı olduğunu doğrularken ve RPN çerçevesini gönderirken rfcomm_mutex kilidini tutan rfcomm_dlc_send_rpn() fonksiyonu eklendi. TTY yolunun bu yardımcı fonksiyonu kullanması sağlandı ve kilitlenmemiş session kontrolü kaldırıldı. Bu işlem, hem çerçeve oluşturma hem de soket gönderimi boyunca session geçerliliğini korur.