CVE-2026-80849

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: net/tcp-ao: başka bir eşe yeniden bağlanırken current_key üzerinde serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi tcp_inbound_ao_hash(), yalnızca rcu_read_lock() tutulurken ve bh_lock_sock_nested() alınmadan önce çağrılır. Kurulmuş soketler için hızlı yolda, eş tarafından gönderilen rnext_keyid, current_key->sndid değerinden farklıysa, eşin istediği anahtar aranır ve current_key içinde saklanır. Arama işlemi RCU okuma tarafında gerçekleşir ancak current_key bu süreden daha uzun süre varlığını sürdürür. Soket bağlantısı kesildiğinde ve başka bir eş için tekrar connect() çağrıldığında, tcp_ao_connect_init() yeni eşle eşleşmeyen her anahtarı ayıklar ve call_rcu() ile serbest bırakır. Eğer current_key böyle bir anahtara işaret ediyorsa, NULL olarak temizlenir. Hızlı yol girişinde sk_state değerini yalnızca bir kez okur; bu nedenle soket henüz kuruluyken içeri giren bir softirq, döngü çalıştıktan sonra current_key değerini güncelleyebilir. Güncelleme RCU okuma tarafında olduğundan call_rcu() geri çağırmasından önce gelir ve geri çağırma anahtarı serbest bıraktığında, current_key serbest bırakılmış belleğe işaret etmeye devam eder. Bir sonraki iletim, bu işaretçiyi tcp_get_current_key() fonksiyonunda alır. Ardından tcp_ao_transmit_skb(), trafik anahtarını serbest bırakılmış nesneden okur; bu durum serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. Ayıklamadan önce ve yalnızca bir anahtar kaldırılacaksa bir lütuf dönemi (grace period) beklenir. tcp_connect() çalıştığında soket zaten TCP_SYN_SENT durumundadır ve TCP_AO_ESTABLISHED durumu TCPF_SYN_SENT içermez; dolayısıyla beklemeden sonra giren bir softirq hızlı yola ulaşamaz ve halihazırda orada olanlar işlemini tamamlamış olur. Bu durumda döngüdeki mevcut NULL işleme mekanizması yeterli hale gelir.