CVE-2026-68370

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: usb: gadget: dummy_hcd: giveback sırasında fifo_req yeniden kullanımını önle dummy_hcd, dummy_queue() içindeki "emüle edilmiş tek istekli FIFO" hızlı yolunun küçük IN transferleri için yeniden kullandığı tek bir paylaşılan usb_request (dum->fifo_req) içerir: çağıranın isteğini buna kopyalar (req->req = *_req) ve kuyruğa alır; list_empty(&fifo_req.queue) durumunu "yuva boş" olarak değerlendirir. Tamamlanma tarafı (dummy_timer/transfer/nuke/dummy_dequeue) standart kalıbı izler: list_del_init(&req->queue) isteği listeden çıkarır, ardından kilit bırakılır ve usb_gadget_giveback_request() req->complete() işlevini çağırır. Ancak list_del_init(), tamamlanma geri çağrısı dönmeden *önce* fifo_req.queue'yu boş görünür hale getirir; bu nedenle başka bir CPU üzerinde eşzamanlı çalışan dummy_queue() yuvayı boş olarak görür, fifo_req'i yeniden kullanır ve req->req = *_req çalıştırarak dummy_timer tam onu çağırırken req->complete işaretçisinin üzerine yazar. Dolaylı çağrı daha sonra bozulmuş bir işaretçiye atlar ve dummy_timer içinde genel koruma hatası / sayfa hatasına neden olur (syzkaller extid faf3a6cf579fc65591ca). Üzerine yazan yazma işlemi, canlı bir paylaşılan nesne üzerinde sınırlar içinde bir memcpy olduğundan KASAN bunu işaretleyemez. Paylaşılan isteğin tüm yaşam döngüsünü kapsayan bir fifo_req_busy biti ekleyin: dummy_queue() içinde FIFO hızlı yolu fifo_req'i aldığında bunu ayarlayın (list_empty(&fifo_req.queue) testinin yerine geçen hızlı yol koruması haline getirin) ve tamamlanma geri çağrısı döndükten sonra dört gadget-request giveback noktasının tamamında kullanılan bir dummy_giveback() yardımcı işlevi aracılığıyla temizleyin. Paylaşılan yuva, tamamlanma geri çağrısı bitene kadar artık yeniden kullanılamaz.