CVE-2026-80589

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: block: hiç eklenmemiş bir disk serbest bırakılırken zaman aşımı zamanlayıcısını durdurun disk_release(), add_disk() öncesinde probe işlemi başarısız olan bir disk için blk_mq_init_allocated_queue() işlemini geri alır ancak yalnızca blk_mq_exit_queue() fonksiyonunu çağırır. Burada q->timeout'u durduran hiçbir şey yoktur ve bu zamanlayıcı ilerlemeye devam eder: son istek tamamlanana kadar değil, bir sonraki sona erme süresine kadar beklemede kalır. Bu nedenle, sürücü diski eklemeden önce herhangi bir G/Ç işlemi başlatmışsa, request_queue hala bir timer wheel kovasına bağlıyken serbest bırakılmış olur. 6f81fdf41d ("block: simplify disk shutdown") commit'i, bunu durduran blk_cleanup_queue() çağrısını kaldırmıştır. __del_gendisk() ve blk_mq_destroy_queue() hala bu işlemi yapmaktadır; sadece probe hatası yolu bu özelliği kaybetmiştir. nvme, nvme_update_ns_info() fonksiyonunun disk eklenmeden önce ns->queue üzerinde Report Zones veya FDP io-mgmt-recv gönderdiği için bu duruma düşer; böylece daha sonra meydana gelen bir hata -NVME_CTRL_FROZEN ayarlayan eşzamanlı bir sıfırlama veya device_add_disk() hatası- zamanlayıcı kurulmuş halde put_disk() işlemine yol açar: BUG: KASAN: slab-use-after-free in detach_if_pending+0x30c/0x340 Write of size 8 at addr ffff888004d71310 by task kworker/u8:2/37 __timer_delete_sync+0x156/0x240 kernel/time/timer.c:1621 blk_sync_queue+0x22/0x40 block/blk-core.c:222 nvme_sync_queues+0x100/0x150 drivers/nvme/host/core.c:5362 nvme_reset_work+0x138/0x930 drivers/nvme/host/pci.c:3264 Allocated by task 34: __blk_mq_alloc_disk+0x33/0x100 block/blk-mq.c:4462 nvme_alloc_ns+0x290/0x3870 drivers/nvme/host/core.c:4146 Freed by task 0: blk_free_queue_rcu+0x3a/0x50 block/blk-core.c:254 rcu_core+0xc10/0x1730 kernel/rcu/tree.c:2857 Burada senkronize edilen kuyruk ctrl->admin_q olup, serbest bırakılan kuyruğun sarkan girişiyle aynı timer wheel kovasını paylaşan bir kurbandır; diğer çalışmalar enqueue_timer(), __run_timers() veya blk_mq_timeout_work() sırasında tetiklenmiştir. Bir hata ayıklama yamasıyla nvme_alloc_ns() işleminin başarısız olması durumu deterministik hale getirir: sızdırılan tek bir zamanlayıcı saniyeler içinde KASAN'ı tetiklerken, 1987 yamalı sürümde herhangi bir hata oluşmamıştır. blk_mq_destroy_queue() fonksiyonunun yaptığı gibi, blk_mq_exit_queue() öncesinde zamanlayıcıyı ve kuyruk çalışma öğelerini durdurun. FuzzNvme tarafından bulunmuştur.