CVE-2026-89847

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: scsi: qla2xxx: async IOCB zaman aşımında çift tamamlama işleminin önlenmesi qla2x00_async_iocb_timeout() fonksiyonu, zaman aşımına uğramış bir async IOCB'yi iptal etmeye çalışır. qla24xx_async_abort_cmd() başarısız olduğunda, hem SRB_LOGIN_CMD yolu hem de SRB_CTRL_VP/varsayılan yolu, SRB için outstanding_cmds[] dizisini tarar ve ardından SRB'nin gerçekten bulunup bulunmadığını veya kaldırılıp kaldırılmadığını kontrol etmeden koşulsuz olarak sp->done(sp, QLA_FUNCTION_TIMEOUT) fonksiyonunu çağırır. Yanıt ISR'si aynı tutamacı (handle) önce tamamladığında, SRB'yi qp_lock_ptr altında kaldırır ve sp->done() -> complete(sp->comp) işlemini yürütür. Gönderici olan qla24xx_control_vp() fonksiyonu wait_for_completion()'dan uyanır, sp->comp değerini temizler, referansını bırakır ve geri döner; böylece yığındaki (on-stack) tamamlama işlemi geri alınmış olur. Zamanlayıcı referansı, SRB'yi zaman aşımı işleyicisi boyunca hayatta tutar ancak göndericinin yığınını tutmaz. Ardından zaman aşımı ikinci bir sp->done() -> qla_ctrlvp_sp_done() çağrısı yapar ve bu işlem "if (sp->comp) complete(sp->comp)" ifadesini değerlendirir; işaretçi, göndericinin NULL atamasından önce yüklendiği için complete() serbest bırakılan yığın çerçevesine yazma işlemi gerçekleştirir, bu da bir serbest bırakıldıktan sonra kullanım (use-after-free) durumuna yol açar. Bu yolun SRB'yi outstanding_cmds üzerinden kaldırıp kaldırmadığı takip edilmeli ve sp->done() yalnızca kaldırıldığında çağrılmalıdır; böylece komut, ona sahip olan yol tarafından tam olarak bir kez tamamlanır. Bu işlem, qla24xx_abort_iocb_timeout() içerisinde halihazırda kullanılan sp_found korumasının aynısını uygular.