CVE-2026-89569

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: RFCOMM: güvenlik onaylama işleminin serileştirilmesi rfcomm_security_cfm(), session_list üzerinden bir oturum arar ve ardından rfcomm_mutex kilidine sahip olmadan ilgili DLC listesini tarar. RFCOMM oturum kapatma işlemi rfcomm_mutex kullandığından, krfcommd aynı oturumu ve DLC'leri eşzamanlı olarak kapatabilir ve serbest bırakabilir: hci_rx_work krfcommd ----------- --------- rfcomm_session_get() rfcomm_lock() rfcomm_session_close() rfcomm_dlc_unlink() rfcomm_session_del() kfree(s) rfcomm_unlock() walk s->dlcs Bu durumda geri çağırma fonksiyonu, bayrakları veya zamanlayıcıları güncellerken serbest bırakılmış bir oturum listesi başlığını okuyabilir ve serbest bırakılmış DLC'lere erişebilir. rfcomm_security_cfm() içerisindeki oturum arama ve DLC tarama işlemleri rfcomm_mutex ile serileştirilmiştir. Bu işlem, mevcut RFCOMM oturum ömür kurallarıyla uyumludur ve geri çağırma fonksiyonu nesneleri kullanırken eşzamanlı rfcomm_session_del() / rfcomm_dlc_unlink() işlemlerinin bu nesneleri yok etmesini önler. KASAN raporu: BUG: KASAN: slab-use-after-free in rfcomm_security_cfm+0x41c/0x440 Read of size 8 at addr ffff888111fb3960 by task kworker/u17:1/89 Workqueue: hci0 hci_rx_work Call Trace: rfcomm_security_cfm+0x41c/0x440 hci_encrypt_cfm+0x139/0x590 hci_encrypt_change_evt+0x37b/0xc40 hci_event_packet+0x71b/0xb20 hci_rx_work+0x293/0x730 Allocated by task 69: rfcomm_session_add+0x9e/0x2f0 rfcomm_run+0x44b/0x41e0 Freed by task 69: kfree+0x131/0x3c0 rfcomm_session_del+0x188/0x220 rfcomm_run+0x1985/0x41e0