CVE-2026-98734

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: hci_core: SCO ve ISO zamanlamasını bağlantı sonlandırma ile serileştirin hci_low_sent() bir bağlantıyı RCU altında seçer ancak kotasını hesaplayıp zamanlayıcıya döndürmeden önce okuma kilidini bırakır. Bağlantı daha sonra hci_sched_iso() ve hci_sched_sco() tarafından yaşam süresi koruması olmadan kullanılır. TX işçisi RCU okuma kilidini bıraktıktan sonra, hdev->req_workqueue üzerindeki hci_abort_conn_sync() bağlantıyı hash tablosundan kaldırabilir, synchronize_rcu() işlemini tamamlayabilir, kuyruklarını temizleyebilir ve bağlantıyı serbest bırakabilir. Ardından hdev->workqueue üzerindeki TX işçisi, hci_quote_sent() içinde veya paketleri kuyruktan çıkarırken ve conn->sent değerini güncellerken serbest bırakılan bağlantıya erişebilir. KASAN şunları raporlamıştır: BUG: KASAN: slab-use-after-free in hci_low_sent+0x730/0x840 Workqueue: hci0 hci_tx_work Call Trace: hci_low_sent+0x730/0x840 hci_sched_iso+0x25e/0x4d0 hci_tx_work+0x239/0xcb0 Task 93 tarafından tahsis edildi: __hci_conn_add+0x16f/0x1b40 hci_bind_bis+0x782/0x17b0 hci_connect_bis+0xa0/0x510 iso_sock_connect+0x589/0x1050 Task 88 tarafından serbest bırakıldı: kfree+0x131/0x3c0 device_release+0xc8/0x240 kobject_put+0x14d/0x280 hci_conn_del+0x55a/0xe80 hci_disconnect_sync+0x156/0x180 hci_abort_conn_sync+0x3e7/0x940 hci_cmd_sync_work+0x13c/0x290 Hem SCO hem de ISO zamanlamasında, bağlantı seçimi ve iletim boyunca hci_dev_lock() kilidini tutarak bunları bağlantı sonlandırma işlemiyle serileştirin. Bu aynı zamanda bağlantı kuyrukları temizlendikten sonra tamamlama zaman damgalarının kuyruğa alınmasını önler. İletim boyunca RCU'yu genişletmek güvenli olmayacaktır çünkü iletim yolu uyku moduna geçebilir. hci_link_tx_to() fonksiyonu kendi kilidini aldığı için ISO zaman aşımı kontrolünü mutex dışında tutun. Önceki kanal düzeltmesi, paketler arasında SCO zamanlayıcısını çağıran ACL ve LE zamanlayıcılarında bu mutex'i zaten tutmaktadır. SCO gövdesini __hci_sched_sco() fonksiyonuna taşıyın, çağırıcısının mutex'i tuttuğunu doğrulayın ve kilitli yollardan doğrudan kullanın. hci_tx_work() üzerinden gelen doğrudan çağrılar için kilit kullanan bir hci_sched_sco() sarmalayıcısı tutun. Bu, zamanlama sırasını korurken cihaz mutex'inin özyinelemeli olarak alınmasını önler. Bağlantının kaldırılmasının TX işlemini devre dışı bıraktığına dair eski iddiayı kaldırın.