CVE-2026-98076

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: tracing/probes: Birden fazla prob içeren olayların alan adı/türünde serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi Prob tabanlı bir dinamik olayın (kprobe, uprobe, eprobe ve fprobe olayları) alanları, probe_arg ad/tür dizgelerini kopyalama yapmadan yalnızca işaretçileri saklayan trace_define_field() fonksiyonuna ileten traceprobe_define_arg_fields() tarafından oluşturulur. Bu dizgeler trace_probe'a aittir ve ilgili prob kaldırıldığında serbest bırakılır. Bir olaya birden fazla prob eklenmiş olabilir. Alan listesi yalnızca olayı kaydeden ilk prob tarafından bir kez tanımlanır ancak hayatta kalan herhangi bir kardeş prob tarafından canlı tutulur. Sadece ilk probun sembol aracılığıyla silinmesi - # primary A: alanlar A'nın argümanlarından tanımlanır echo 'p:kprobes/ev vfs_read a1=$arg1' > kprobe_events # append B: A'nın olay çağrısını paylaşır echo 'p:kprobes/ev vfs_write a1=$arg1' >> kprobe_events # sadece A'yı sil (sembole göre eşleşti), B hayatta kalır echo '-:kprobes/ev vfs_read' >> kprobe_events A'nın argümanlarını serbest bırakır (trace_probe_cleanup() -> traceprobe_free_probe_arg()), ancak prob listesi boş olmadığı için trace_probe_unlink() fonksiyonu trace_probe_event'i korur. Olay çağrısı B üzerinden kayıtlı kalmaya devam ederken, alanları artık serbest bırakılmış belleğe referans verir. Herhangi bir alan araması daha sonra bunu okur, örneğin: echo 'a1 == 1' > events/kprobes/ev/filter BUG: KASAN: slab-use-after-free in strcmp+0xa7/0xb0 Call Trace: strcmp trace_find_event_field parse_pred process_preds create_filter apply_event_filter event_filter_write field->name, parg->name'e (kstrdup ile oluşturulan ve propla birlikte serbest bırakılan) referans verir ve dizi argümanları için field->type, parg->fmt'ye (kmalloc ile oluşturulan ve propla birlikte serbest bırakılan) referans verir - aksi takdirde skaler tür, güvenli olan statik fmttype rodata'ya işaret eder. traceprobe_define_arg_fields() fonksiyonunun ad ve tür dizgelerini çoğaltması ve kopyaları, olay çağrısını gömen ve her bir bireysel probdan daha uzun süre yaşayan trace_probe_event üzerinde sabitlemesi sağlanmıştır; bunlar trace_probe_event_free() tarafından serbest bırakılır. Yukarıdaki yeniden üretici güvenilir şekilde tetiklenmektedir; hem alan araması hem de silme işlemi event_mutex altında çalışır, bu nedenle durum bir yarış durumundan ziyade kaldırma işleminden sonra oluşan asılı bir referanstır. Sorun, Tencent Yunding Lab'deki autokbug dinamik çekirdek fuzzer'ı tarafından bulunmuştur.