CVE-2026-68414

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: wifi: cfg80211: kayıt silme işleminde sched scan sonuçları işini iptal et cfg80211_sched_scan_results(), zamanlanmış bir tarama isteği mevcutken, bir sürücü sonuç bildiriminden rdev->sched_scan_res_wk öğesini kuyruğa alabilir. İş geri çağırma fonksiyonu, içeren cfg80211_registered_device nesnesini kurtarır ve ardından wiphy'yi kilitleyerek zamanlanmış tarama istek listesinde ilerler. wiphy_unregister(), cfg80211_dev_free() nesneyi serbest bırakmadan önce zaten wiphy'yi erişilemez hale getirir ve rdev iş öğelerini boşaltır ancak sched_scan_res_wk öğesini boşaltmaz. Bu nedenle, kuyrukta bekleyen veya çalışan bir sonuç iş öğesi, kayıt silme/serbest bırakma sınırını aşabilir ve serbest bırakılmış rdev durumuna erişebilir. Hatalı senaryo iki yol içerir; her sütun o yoldaki sırayı göstermektedir: zamanlanmış tarama sonucu yolu: kayıt silme/serbest bırakma yolu: 1. cfg80211_sched_scan_results() 1. arayüz sökümü durur ve zamanlanmış rdev->sched_scan_res_wk'yı tarama isteğini kaldırır. kuyruğa alır. 2. cfg80211_wq iş öğesini başlatır 2. wiphy_unregister() diğer rdev ve rdev'i kurtarır. iş öğelerini boşaltır. 3. Worker, rdev->wiphy'yi kilitler 3. cfg80211_dev_free() rdev'i yok eder ve rdev durumu üzerinde ilerler. ve serbest bırakır. Diğer rdev iş öğeleriyle birlikte wiphy_unregister() içinde sched_scan_res_wk iptal edilir. cancel_work_sync(), bekleyen bir sonuç bildirimini kaldırır ve halihazırda çalışan bir geri çağırmayı bekler; böylece bu iş öğesi hala aktifken cfg80211_dev_free() rdev'i serbest bırakamaz. Doğrulama işlemi şu çekirdek raporunu yeniden üretmiştir: BUG: KASAN: use-after-free in cfg80211_sched_scan_results_wk+0x4a6/0x530 Workqueue: cfg80211 cfg80211_sched_scan_results_wk [cfg80211] Read of size 8 Call trace: dump_stack_lvl+0x66/0xa0 print_report+0xce/0x630 cfg80211_sched_scan_results_wk+0x4a6/0x530 srso_alias_return_thunk+0x5/0xfbef5 __virt_addr_valid+0x224/0x430 kasan_report+0xac/0xe0 lockdep_hardirqs_on_prepare+0xea/0x1a0 process_one_work+0x8d0/0x18f0 (kernel/workqueue.c:3212) lock_is_held_type+0x8f/0x100 worker_thread+0x5ad/0xfd0 __kthread_parkme+0xc6/0x200 kthread+0x31e/0x410 trace_hardirqs_on+0x1a/0x170 ret_from_fork+0x576/0x810 __switch_to+0x57e/0xe20 __switch_to_asm+0x33/0x70 ret_from_fork_asm+0x1a/0x30