CVE-2026-80842

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net: bridge: mcast: bir ana VLAN'ın çoklu yayın (multicast) bağlamındaki serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi br_multicast_toggle_one_vlan(), bir VLAN'ın çoklu yayın bağlamını durdurmadan önce br->multicast_lock altında BR_VLFLAG_MCAST_ENABLED bayrağını temizler. Bu, kaldırma el sıkışmasıdır: kilitsiz okuyucular, br_multicast_ctx_should_use() -> br_multicast_ctx_vlan_disabled() aracılığıyla bu bayrak üzerinden kontrol sağlar; böylece kilit altında temizlendiğinde hiçbir okuyucu bağlamı tekrar etkinleştiremez. Bir ana VLAN için bu el sıkışması asla gerçekleşmez. __vlan_del(), br_vlan_put_master() fonksiyonunu çağırmadan önce BRIDGE_VLAN_INFO_BRENTRY değerini temizler, bu nedenle br_multicast_toggle_one_vlan(masterv, false), !br_vlan_is_brentry(vlan) durumunda erken döner: bayrak ayarlı kalır ve br->multicast_lock hiçbir zaman alınmaz. Ardından br_vlan_put_master(), br_multicast_ctx_deinit() içinde bağlamı boşaltır ve call_rcu() aracılığıyla VLAN'ı serbest bırakır; ancak hala rcu_read_lock() içinde olan bir okuyucu, bağlamı etkin olarak görür ve yeniden etkinleştirir. Fonksiyonun port ve port-VLAN dalında br_vlan_is_brentry() testi yoktur ve bayrağı br->multicast_lock altında değiştirir, dolayısıyla bu kısımdan etkilenmez. Okuyucu, köprü iletim yoludur. Bir ana VLAN için br_multicast_rcv(), pmctx = NULL iken brmctx = &vlan->br_mcast_ctx seçimini yapar; böylece köprü cihazına gönderilen IGMP, br_multicast_ctx_deinit() bunları zaten durdurmuş olmasına rağmen bağlamın zamanlayıcılarını yeniden etkinleştirir. BUG: KASAN: slab-use-after-free in detach_if_pending+0x412/0x4a0 Write of size 8 at addr ffff88810ac39918 by task brmc/601 __mod_timer+0x51a/0xc50 br_multicast_host_join+0x25b/0x390 __br_multicast_add_group+0x468/0x530 br_ip4_multicast_add_group+0x1a0/0x260 br_multicast_rcv+0x2cda/0x61e0 br_dev_xmit+0x6c4/0x1540 Allocated by task 610: br_vlan_add+0x111/0xb40 br_vlan_info+0x370/0x3e0 Freed by task 0: kfree+0x1a7/0x4f0 rcu_core+0x7dc/0x10a0 Yanındaki br_multicast_ctx_vlan_global_disabled() testi gibi, br_vlan_is_brentry() sadece etkinleştirme sırasında test edilir. Böylece devre dışı bırakma işlemi, br_multicast_ctx_deinit() bağlamı boşaltmadan önce her zaman br->multicast_lock altında BR_VLFLAG_MCAST_ENABLED bayrağını temizler.