CVE-2026-98739

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: RFCOMM: İlk port referans yarış durumu düzeltildi RFCOMM_RELEASE_ONHUP aygıtları için, rfcomm_tty_install() ve __rfcomm_release_dev() fonksiyonlarının her ikisi de ilk tty_port referansını kimin bırakacağına karar vermek için RFCOMM_TTY_OWNED değerini kullanır. Serbest bırakma yolu, biti kurulum yolunun ayarlamasından ayrı olarak test eder, bu nedenle her iki yol da söz konusu referansı bırakabilir. Senkron kapatma işlemi bu yarış durumunu engellemez: port->tty, kurulumdan sonra tty_port_open() çağrılana kadar atanmaz. Aşağıdaki sıralama mümkündür: 1. Kurulum ve serbest bırakma işlemleri rfcomm_dev_get() ile birer referans alır. 2. Serbest bırakma işlemi RFCOMM_TTY_OWNED bitinin temiz olduğunu görür. 3. Kurulum işlemi RFCOMM_TTY_OWNED bitini ayarlar ve ilk referansı bırakır. 4. Serbest bırakma işlemi aynı ilk referansı tekrar bırakır. 5. TTY temizleme işlemi kendi referansını bırakır ve aygıtı serbest bırakır. 6. Serbest bırakma işlemi, serbest bırakılmış port üzerinde son tty_port_put() işlemini gerçekleştirir. KASAN şunları raporlamıştır: BUG: KASAN: slab-use-after-free in tty_port_put+0x22/0x190 Write of size 4 at addr ffff8881001d3d5c by task poc/92 Call Trace: tty_port_put+0x22/0x190 rfcomm_dev_ioctl+0x1d4/0x1930 sock_do_ioctl+0x110/0x260 sock_ioctl+0x380/0x590 __x64_sys_ioctl+0x134/0x1c0 Allocated by task 88: rfcomm_dev_ioctl+0x8f6/0x1930 sock_do_ioctl+0x110/0x260 sock_ioctl+0x380/0x590 __x64_sys_ioctl+0x134/0x1c0 Freed by task 65: kfree+0x131/0x3c0 rfcomm_dev_destruct+0x23b/0x2f0 release_one_tty+0xc1/0x370 process_one_work+0x661/0x1090 Her iki yolda da test_and_set_bit() kullanarak yalnızca RFCOMM_TTY_OWNED değerini temizden ayarlanmışa değiştiren çağırıcının ilk referansı bırakması sağlanmıştır. Her yol, mevcut geri çağırma sıralamasını ve hata yönetimini koruyarak, serbest bırakmaya veya TTY temizlemeye kadar kendi arama referansını tutar.