CVE-2026-72422

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: ksmbd: eşzamanlı SMB2 NEGOTIATE sırasında conn->preauth_info üzerinde oluşan serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi. conn->preauth_info, SMB2 NEGOTIATE işleyicisi tarafından tahsis edilen ve serbest bırakılan, yanıt gönderim yolu tarafından okunan paylaşımlı bir bağlantı durumudur (struct preauth_integrity_info, kmalloc-96). smb2_handle_negotiate() fonksiyonu conn->preauth_info'yu tahsis eder ve deassemble_neg_contexts() başarısız olduğunda bunu kfree ile serbest bırakıp NULL olarak ayarlar. Hem tahsis hem de serbest bırakma/NULL işlemi, tüm işleyici gövdesi boyunca tutulan ksmbd_conn_lock(conn) (bağlantı srv_mutex) altında gerçekleşir. __handle_ksmbd_work() içindeki send: bloğundan çağrılan yanıt gönderim yolu smb3_preauth_hash_rsp(), conn_lock almadan conn->preauth_info'yu okur ve conn->preauth_info->Preauth_HashValue değerini (ksmbd_gen_preauth_integrity_hash() aracılığıyla) çözümler. Bir istemci aynı bağlantı üzerinden iki SMB2 NEGOTIATE isteği gönderdiğinde, bir işlem parçacığı başarısız olan negotiate yolunda conn->preauth_info'yu serbest bırakırken, eşzamanlı bir gönderim yolu işlem parçacığı bunu okuyabilir; bu da bir slab serbest bırakıldıktan sonra kullanım okumasına (KASAN onaylı) neden olur. Gönderim yolu okuması conn->preauth_info'nun NULL olup olmadığını kontrol ediyordu ancak NULL kontrolü ile çözümleme arasında gerçekleşen serbest bırakma işlemiyle yarış durumuna giriyordu, bu nedenle tek başına NULL koruması bu boşluğu kapatmamaktadır. smb3_preauth_hash_rsp() içindeki NEGOTIATE dalı okuması ksmbd_conn_lock(conn) altında serileştirilmiş ve kilit içerisinde conn->preauth_info yeniden kontrol edilmiştir. Negotiate işleyicisi, kfree + NULL ataması boyunca conn_lock'u tuttuğu için, yine conn_lock alan bir okuyucu ya tahsisten tamamen önce ya da NULL atamasından tamamen sonra çalışır ve serbest bırakılmış ancak henüz NULL yapılmamış işaretçiyi asla gözlemlemez. ksmbd_gen_preauth_integrity_hash() kendi başına herhangi bir kilit almaz (yalnızca tampon üzerinde bir SHA-512 hesaplar), dolayısıyla herhangi bir kilit sıralama ters çevrilmesi oluşmaz ve conn_lock, bu gönderim yolunda güvenli olan uyutulabilir bir mutex'tir (zaten ağ G/Ç işlemleri gerçekleştirmektedir).