CVE-2026-80784

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: mptcp: pm: teardown sırasında tahsisat yarışından kaynaklanan bellek sızıntısı düzeltildi mptcp_pm_destroy(), soket kapatma işlemi sırasında msk->pm.lock altında msk->pm.anno_list ve msk->pm.userspace_pm_local_addr_list listelerini boşaltır ve bu iki işlem arasında kilidi serbest bırakır. Aynı msk üzerinde eşzamanlı olarak gerçekleşen bir kullanıcı alanı PM genl ANNOUNCE işlemi, mptcp_token_get_sock() aracılığıyla bir sock referansı tutar ve mptcp_pm_nl_announce_doit() içerisinde mptcp_userspace_pm_append_new_local_addr() ile mptcp_pm_announced_alloc() fonksiyonlarını çağırır. Her iki fonksiyon da ilgili listelere ekleme yapmak için kısa süreliğine msk->pm.lock kilidini alır. Genl işleyicisi bir sock referansı tuttuğu için, işleyici tamamlanmadan önce mptcp_disconnect() üzerinden mptcp_destroy_common()'ı çağıran mptcp_pm_destroy(), sock referans sayısını düşürmeden aynı msk üzerinde çalışabilir. Kilit alımları, mptcp_pm_destroy() fonksiyonunun önce bir listeyi boşalttığı şekilde iç içe geçerse, daha sonra yapılan tahsisat girişini, bu msk için başka hiçbir işlemin gezmediği bir liste başına ekler ve böylece giriş sızdırılır. Kullanıcı alanı PM'ye karşı sürekli eşzamanlı ANNOUNCE + close yükü altında kmemleak, hem mptcp_pm_add_addr nesnelerini (mptcp_pm_announced_alloc() kaynaklı) hem de mptcp_pm_addr_entry nesnelerini (mptcp_userspace_pm_append_new_local_addr() kaynaklı) raporlamaktadır. Listeler boşaltılmadan önce mptcp_pm_destroy() tarafından pm.lock altında ayarlanan ve tahsisat yolları tarafından pm.lock altında kontrol edilen msk->pm.status içerisine bir MPTCP_PM_DESTROYING biti eklendi. Ya tahsisat işlemi önce pm.lock kilidini alır, bu durumda girişi mptcp_pm_destroy() onu serbest bıraktığında listededir; ya da mptcp_pm_destroy() önce pm.lock kilidini alır, bu durumda sonraki tahsisat işlemi biti fark eder ve işlemi reddeder. BRF'yi genişleten bir MPTCP protokol akış donanımı (arXiv:2305.08782) tarafından bulunmuştur.