CVE-2026-74609

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: tipc: tipc_node_link_down() fonksiyonunda le->link okuması node kilidi altında gerçekleştirilmeli tipc_node_link_down(), n->lock kilidini almadan önce bağlantı işaretçisini önbelleğe alır: struct tipc_link *l = le->link; /* kilitlenmemiş */ if (!l) return; tipc_node_write_lock(n); if (!tipc_link_is_establishing(l)) { /* l referans alınır */ ... tipc_link_reset(l); /* l üzerine yazılır */ if (delete) { kfree(l); le->link = NULL; delete=true olan çağrıcı, söz konusu nesneyi n->lock altında serbest bıraktığından, kilit önbelleğe alınan işaretçiyi buna karşı korumamaktadır: - CPU A, delete=false: TIPC_LINK_DOWN_EVT üzerinde tipc_rcv() veya tipc_node_timeout() aracılığıyla bağlantı denetim zamanlayıcısı, l değerini kilitsiz olarak okur ve ardından n->lock altında referans alır; - CPU B, delete=true: netlink TIPC_NL_BEARER_DISABLE -> bearer_disable() -> tipc_node_delete_links() -> tipc_node_link_down(n, bearer_id, true) -> kfree(l). Bağlantı kfree_rcu() ile değil, standart kfree() ile serbest bırakılır ve UDP taşıyıcıları için disable_media() yalnızca asenkron cleanup_bearer() işlemini planlar, bu nedenle synchronize_net() işlemi bağlantılar zaten yok olduktan sonra çalışır. Dolayısıyla, l değerini okumuş olan işlem halindeki bir CPU A, B tarafından serbest bırakıldıktan sonra serbest bırakılmış belleği referans alır: tipc_link_is_establishing() fonksiyonunda bir serbest bırakıldıktan sonra kullanım (use-after-free) okuma hatası ve kurulan dalda tipc_link_reset() üzerinden bir serbest bırakıldıktan sonra kullanım yazma hatası oluşur. 7.2.0-rc5-00284-gaf39eb111ce6 sürümünde şu izleme yakalanmıştır: BUG: KASAN: slab-use-after-free in tipc_link_is_establishing (net/tipc/link.c:285) Read of size 4 at addr ffff88802e2aa068 by task swapper/2/0 tipc_link_is_establishing (net/tipc/link.c:285) tipc_node_link_down (net/tipc/node.c:1076) tipc_node_timeout (net/tipc/node.c:843) Allocated by task 9549: tipc_link_create (net/tipc/link.c:490) tipc_node_check_dest (net/tipc/node.c:1279) tipc_disc_rcv (net/tipc/discover.c:252) tipc_udp_recv (net/tipc/udp_media.c:389) Freed by task 9549: tipc_node_link_down (net/tipc/node.c:1084) tipc_node_delete_links (net/tipc/node.c:1320) bearer_disable (net/tipc/bearer.c:414) __tipc_nl_bearer_disable (net/tipc/bearer.c:992) le->link okuması tipc_node_write_lock() içerisine taşınarak, silme yolundaki kfree() işlemiyle sıralanması sağlanmıştır. Yarış durumundaki bir kapatma işlemi artık ya henüz çalışmamıştır ve geçerli bir bağlantı görülür ya da çoktan çalışmıştır ve NULL görülür.