CVE-2026-98276

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: net: sock_gettstamp() fonksiyonunda soket kilitleniyor sock_set_flag() ve sock_reset_flag() atomik olmayan işlemler (__set_bit() ve __clear_bit()) kullandığından, sk->sk_flags yalnızca soket kilidi tutulurken değiştirilmelidir. sock_gettstamp(), sock_enable_timestamp(sk, SOCK_TIMESTAMP) aracılığıyla bir sistem çağrısından soket kilidine sahip olmadan sk->sk_flags bitinin değiştirildiği son yerlerden biridir. sk_set_memalloc() ve sk_clear_memalloc() da soket kilidi olmadan sk->sk_flags değerini değiştirir; ancak bunları çağıranların (nbd, iscsi_tcp, nvme-tcp, sunrpc, wireguard) dikkatli bir şekilde denetlenmesi gerekmektedir, bu durum ayrı bir yama ile ele alınacaktır. Jungwoo Lee ve Wongi Lee, bu hatadan kaynaklanan bir UDP soketi serbest bırakıldıktan sonra kullanım (use-after-free) durumu bildirmiştir: bind() ile yarışan bir SIOCGSTAMPNS_NEW ioctl işlemi, her iki iş parçacığı aynı kelime üzerinde oku-değiştir-yaz (read-modify-write) işlemi gerçekleştirdiği için udp_lib_get_port() tarafından yeni ayarlanmış olan SOCK_RCU_FREE bitini iptal edebilir. CPU 0 (bind) CPU 1 (SIOCGSTAMPNS_NEW) -------------------------------- ---------------------------- read sk_flags = F read sk_flags = F compute F | BIT(SOCK_RCU_FREE) compute F | BIT(SOCK_TIMESTAMP) store F | BIT(SOCK_RCU_FREE) sk_add_node_rcu(sk, ...) store F | BIT(SOCK_TIMESTAMP) Kayıp güncellemeden sonra, soket kilitsiz UDP alma aramaları için görünürken SOCK_RCU_FREE temizlenmiş olur. Alma yolu hala referanssız bir işaretçiye sahipken, sk_destruct() bir RCU lütuf süresini beklemek yerine soketi hemen serbest bırakır: BUG: KASAN: slab-use-after-free in ipv4_pktinfo_prepare+0x30/0x410 Read of size 8 at addr ffff888008806610 by task exploit/207 CPU: 0 UID: 1000 PID: 207 Comm: exploit Not tainted 6.12.95+ #1 ipv4_pktinfo_prepare+0x30/0x410 udp_queue_rcv_one_skb+0x51c/0x1180 udp_unicast_rcv_skb+0x109/0x350 ip_protocol_deliver_rcu+0x14b/0x310 ip_local_deliver_finish+0x29d/0x390 ip_local_deliver+0x24d/0x2a0 Yaygın durumun kilitsiz kalmasını sağlamak için soket kilidi yalnızca SOCK_TIMESTAMP ayarlanması gerektiğinde alınır.