CVE-2026-98736

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: hci_conn: gelişmiş SCO kurulumu sırasında üst erişimini kilitleyin hci_enhanced_setup_sync(), kurulum kuyruğa alındığında çağıran tarafından tutulan hci_dev_lock olmadan istek iş kuyruğunda çalışır. Bunun CVSD yetenek kontrolü ve find_next_esco_param() fonksiyonu conn->parent referansını çözerken, alma iş kuyruğu söz konusu üst öğeyi bağlantıdan koparıp serbest bırakabilir. Aşağıdaki iç içe geçme durumu bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına neden olabilir: hci_enhanced_setup_sync() hci_disconn_complete_evt() conn->parent yükle hci_dev_lock() hci_conn_del(ACL parent) SCO child bağlantısını kopar bağlantının parent referansını düşür child->parent temizle ACL parent serbest bırak bt_link_release() kfree(parent) hci_dev_unlock() parent->features[0][3] oku Kuyruğa alınmış SCO child için tutulan referans, bağlantı koparma işleminden sonra ACL parent yapısının hayatta kalmasını sağlamaz. 42de40abe25d ("Bluetooth: hci_conn: fix the SCO setup context lifetime") commit'i, kuyruğa alınmış bağlamda saklanan child yapısını korur ancak bu parent erişimlerini korumasız bırakır. conn->parent yüklendikten sonra 40 ms'lik bir tanı gecikmesiyle, halihazırda 42de40abe25d içeren fd179f8a05be tabanlı araçlandırılmış bir çekirdek ile şu sonuç alınmıştır: BUG: KASAN: slab-use-after-free in hci_enhanced_setup_sync+0xda5/0xdf0 Read of size 1 at addr ffff888102204047 by task kworker/u17:0/93 Call Trace: hci_enhanced_setup_sync+0xda5/0xdf0 hci_cmd_sync_work+0x13c/0x290 process_one_work+0x6b4/0x10e0 Allocated by task 92: __hci_conn_add+0x304/0x1df0 hci_connect_acl+0x349/0x3e0 hci_connect_sco+0x3b/0x9a0 sco_sock_connect+0x475/0xca0 Freed by task 94: kfree+0x121/0x3c0 bt_link_release+0x79/0xa0 device_release+0xc8/0x240 kobject_put+0x14d/0x280 hci_conn_del+0x524/0xe30 hci_disconn_complete_evt+0x403/0x8c0 hci_event_packet+0x71b/0xb20 hci_rx_work+0x293/0x730 Erişilen adres, serbest bırakılan ACL parent içinde features[0][3] baytında, yani 71 bayt içeridedir; kuyruğa alınan SCO child farklı bir nesnedir. Tanılama işlemi, yüklü parent yapısını gecikme boyunca koruyarak değiştirilmemiş derlenmiş yetenek kontrolüyle eşleşir ve parent referanslarını veya yıkım yolunu değiştirmez. find_next_esco_param() yapılan her çağrı dahil olmak üzere kodek değişimi boyunca hci_dev_lock() tutun ve tüm seçim hatalarında bunu serbest bırakın. HCI olaylarını beklediği için configure_datapath_sync() fonksiyonunu kritik bölümün dışında tutun. Parametre seçimini ve mevcut dönüş değerlerini koruyun.