CVE-2026-89746

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: tracing: Aynı isimli adlandırılmış tetikleyicilerle oluşan serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi Farklı olaylar üzerindeki iki hist tetikleyicisi aynı name= ile kaydedildiğinde, ikincisi birincisini named_data olarak yeniden kullanır. save_hist_vars(), event_trigger_register() fonksiyonundan önce çağrıldığı ve adlandırılmış yeniden kullanım yalnızca daha sonra hist_register_trigger() içinde tespit edildiği için, her ikisi de event_hist_trigger_parse() sırasında save_hist_vars() tarafından tr->hist_vars listesine eklenir. named-data dalında hist_register_trigger(), ardından ikinci histogramın hist_data verisini destroy_hist_data() aracılığıyla serbest bırakır ancak tr->hist_vars liste girişini asla kaldırmaz; bu durum arkada sarkan bir işaretçi (dangling pointer) bırakır ve tuttuğu trace_array referansının sızmasına neden olur. Bir değişkene referans veren daha sonraki bir hist tetikleyicisi, find_var_file()'ın tr->hist_vars üzerinde gezinmesine ve serbest bırakılan hist_data'nın dereferans edilmesine yol açar. Hata, tracefs'e üç hist tetikleyicisi yazılarak kullanıcı alanından yeniden üretilebilir: cd /sys/kernel/tracing echo 'hist:keys=common_pid:x=common_pid:name=mh' > events/sched/sched_switch/trigger echo 'hist:keys=common_pid:x=common_pid:name=mh' > events/sched/sched_process_fork/trigger echo 'hist:keys=common_pid:vals=$x' > events/sched/sched_process_exit/trigger Üçüncü yazma işlemi çekirdeğin paniklemesine (panic) neden olur: BUG: KASAN: slab-use-after-free in find_var_file.part.0+0x272/0x290 Read of size 8 at addr ffff888001f8a0e0 by task sh/1 CPU: 1 UID: 0 PID: 1 Comm: sh Tainted: G D N Call Trace: find_var_file.part.0 find_event_var parse_atom parse_expr __create_val_field event_hist_trigger_parse trigger_process_regex event_trigger_write vfs_write ksys_write do_syscall_64 entry_SYSCALL_64_after_hwframe Allocated by task 1: event_hist_trigger_parse Freed by task 1: hist_register_trigger+0x618/0xa30 event_hist_trigger_parse The buggy address belongs to freed 2048-byte region Oops: general protection fault ... RIP: find_var_file.part.0 Kernel panic - not syncing: Attempted to kill init! exitcode=0x0000000b Hata, hist_register_trigger()'ın named-data dalında hist_data serbest bırakılmadan önce, hist_data'nın tr->hist_vars listesinden kaldırılması ve trace_array referansının serbest bırakılmasıyla düzeltilmiştir.