CVE-2026-68363

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: wifi: ath9k: hif_usb: firmware isteği yeniden kurulduktan sonra hif_dev'e başvurma ath9k_hif_request_firmware(), request_firmware_nowait() aracılığıyla hif_dev'i tamamlama bağlamı olarak geçirerek eşzamansız bir firmware yüklemesini yeniden kurar ve ardından hâlâ hif_dev'e başvurur: dev_info(&hif_dev->udev->dev, "ath9k_htc: Firmware %s requested\n", hif_dev->fw_name); Yeniden kurulan geri çağırma işlevi ath9k_hif_usb_firmware_cb() "events" iş kuyruğunda çalışır ve firmware eksik olduğunda yeniden deneme zincirini ath9k_hif_usb_firmware_fail() -> complete_all(&hif_dev->fw_done) üzerinden yürütür. Bu, eşzamanlı bir ath9k_hif_usb_disconnect() içindeki wait_for_completion(&hif_dev->fw_done) çağrısını serbest bırakır ve bu da hif_dev'i kfree() ile serbest bırakır. Bu nedenle, isteği yeniden kuran çerçevedeki sondaki dev_info(), serbest bırakılmış belleği okuyabilir (hif_dev->udev, struct hif_device_usb yapısının ilk alanı): BUG: KASAN: slab-use-after-free in ath9k_hif_request_firmware Read of size 8 ... by task kworker/... ath9k_hif_request_firmware ath9k_hif_usb_firmware_cb drivers/net/wireless/ath/ath9k/hif_usb.c:1247 request_firmware_work_func Allocated by ...: ath9k_hif_usb_probe drivers/net/wireless/ath/ath9k/hif_usb.c Freed by ...: ath9k_hif_usb_disconnect -> kfree drivers/net/wireless/ath/ath9k/hif_usb.c fw_done bariyeri yalnızca disconnect işleminin firmware zincirinin *sonlanmasını* beklemesini sağlar; isteği yeniden kuran ve sonrasında hif_dev'e erişmeye devam eden dış ath9k_hif_request_firmware() çerçevesini korumaz. İstek sonrası dev_info() çağrısını kaldırın: bu, eşzamansız istek kurulduktan sonra hif_dev'in tek kullanımıdır ve tamamen bilgilendirme amaçlıdır (hata yolundaki dev_err() yalnızca request_firmware_nowait() bir geri çağırma işlevi kurmadığında çalışır, dolayısıyla hif_dev orada hâlâ canlıdır). Bu durum ilk olarak syzbot tarafından tek ve yeniden üretilemeyen, daha sonra otomatik olarak geçersiz kılınan bir çökme olarak bildirilmiş ve bağımsız olarak reFuzz fuzzer'ı tarafından yeniden keşfedilmiş, bu fuzzer bir C yeniden üreticisi üretmiştir (firmware indirmesi başarısız olan bir ath9k_htc cihazının USB-gadget bağlantısı/bağlantı kesilmesi). Savunmasız kod değişmemiştir ve hâlâ v7.1-rc6 sürümünde mevcuttur; burada (mikrosaniye altı) yarış penceresi genişletildiğinde slab-use-after-free durumu KASAN altında yeniden üretilmektedir.