CVE-2026-90003

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: futex: requeue PI sırasında rcuwait serbest bırakıldıktan sonra kullanım (use-after-free) hatasının önlenmesi PREEMPT_RT üzerinde, FUTEX_CMP_REQUEUE_PI, futex_requeue_pi_complete() içindeki rcuwait_wake_up() çağrısı sırasında bir KASAN raporunu (slab-out-of-bounds) tetikleyebilir. futex_wait_requeue_pi() tarafından kullanılan futex_q, bekleyen işlemin yığınında (stack) tahsis edilir. Erken bir uyandırma işlemi, bir PI requeue ile şu şekilde yarışabilir: waiter requeue task ------ ------------ futex_wait_requeue_pi() futex_do_wait() schedule() futex_requeue futex_proxy_trylock_atomic() futex_requeue_pi_prepare() Q_REQUEUE_PI_NONE -> Q_REQUEUE_PI_IN_PROGRESS * zaman aşımı/sinyal bekleyiciyi uyandırır * futex_requeue_pi_wakeup_sync() Q_REQUEUE_PI_IN_PROGRESS -> Q_REQUEUE_PI_WAIT requeue_pi_wake_futex futex_requeue_pi_complete() cmpxchg Q_REQUEUE_PI_WAIT -> Q_REQUEUE_PI_LOCKED rcuwait_wait_event() if (atomic_read(&q->requeue_state) != Q_REQUEUE_PI_WAIT) break /* schedule() yok */ /* q.pi_state->owner == current */ futex_private_hash_put() /* sistem çağrısından dönüş */ rcuwait_wake_up(&q->requeue_wait) /* q artık mevcut değil */ futex_requeue_pi_complete(), rcuwait_wake_up() fonksiyonunu çağırmadan önce Q_REQUEUE_PI_LOCKED durumunu yayınlar. Bekleyen işlem, rcuwait_wait_event() içinde schedule() fonksiyonunu çağırmadan önce bu durumu gözlemler. Burada bekleyen işlem, requeue görevi uyandırmayı tamamlamadan önce sistem çağrısından ayrılabilir. Bu yarışı gidermek için Q_REQUEUE_PI_LOCKED durumunda rcuwait_wake_up() adımı atlanır. Bu durum yalnızca, futex_requeue_pi_complete() öncesinde q->task bilgisini kaydeden ve bekleyen işlemi wake_up_state() aracılığıyla uyandıran requeue_pi_wake_futex() tarafından yayınlanır. Bu uyandırma, bekleyen işlemi futex_do_wait() uykusundan uyandırmak için tasarlanmıştır. Eğer bekleyen işlem hala orada uyuyorsa, Q_REQUEUE_PI_WAIT durumuna giremez (ve kaldırılan bu uyandırmaya ihtiyaç duymaz). Bekleyen işlem başka yollarla (bu örnekteki gibi) futex_do_wait()'den uyandırılırsa ve futex_requeue_pi_wakeup_sync() içinde uyursa, requeue_pi_wake_futex() içerisindeki wake_up_state() onu da uyandıracaktır. Bekleyen görev, wake_up_state() görevi uyandırma fırsatı bulmadan sonlanırsa, futex_hash_bucket::lock tutulduğu ve görev işaretçisi RCU ile korunduğu için görev işaretçisi geçersiz hale gelmez. [bigeasy: Yorum ve commit mesajı güncellendi]