CVE-2026-98580

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: nfc: llcp: accept_queue yaşam döngüsündeki yarış durumu düzeltildi nfc_llcp_socket_release() fonksiyonunda, soketler ve dinleyici kabul kuyrukları yerel soketlerin rwlock'u ve bh_lock_sock() altında taranır. Ancak, bh_lock_sock(), accept() sırasında nfc_llcp_accept_dequeue() tarafından tutulan işlem bağlamındaki lock_sock() ile senkronize olmaz. socket_release() fonksiyonu sock_owned_by_user() kontrolü yapmadığından, her iki yol da aynı alt soketi eşzamanlı olarak ayıklayabilir ve serbest bırakabilir; bu durum nfc_llcp_accept_unlink() içerisinde serbest bırakıldıktan sonra kullanım (use-after-free) veya child->parent üzerinde bir NULL işaretçi referansına yol açar. Bu senkronizasyon yarış durumu, nfc_llcp_socket_release() fonksiyonunun bh_lock_sock() yerine işlem bağlamındaki lock_sock() kullanmasıyla şu şekilde düzeltilmiştir: 1. lock_sock()'un rwlock tutulmadan alınabilmesi için nfc_llcp_sock_list_pop() kullanılarak yazma kilidi altında yerel soket listesinden soketler çıkarılır. 2. lock_sock() uyku moduna geçebileceği için, nfc_llcp_local yapısının nihai serbest bırakılması bir iş kuyruğuna (release_work) ertelenir. Bu, son yerel referans softirq bağlamından düşürüldüğünde ortaya çıkan atomic bağlamda uyuma (sleeping-in-atomic) hatasını önler. Ek olarak, kayıt aşamasından nihai imha aşamasına kadar local üzerinde tek bir cihaz referansı tutulur. 3. nfc_llcp_local_get() fonksiyonunda, yıkımı planlanmış bir yerel nesnenin yeniden canlandırılmasını önlemek için kref_get_unless_zero() kullanılır. 4. Dinleyicinin eşzamanlı olarak kapatılması durumunda askıda kalmaları önlemek için llcp_sock_accept() fonksiyonunda, schedule_timeout() sonrası uyanıldığında dinleyici soket durumunun hala LLCP_LISTEN olduğu doğrulanır. 5. Dinleyici serbest bırakılırken kabul edilmemiş alt soketler ayıklandığında, bunlar local->sockets üzerinden ayrılır, sock_orphan() çağrılır ve başlangıçtaki sk_alloc oluşturma referansları sock_put() aracılığıyla düşürülür. 6. Parent erişimi bir NULL kontrolü ile korunarak nfc_llcp_accept_unlink() fonksiyonu idempotent hale getirilir.