CVE-2026-98764

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: usb: gadget: f_fs: FUNCTIONFS_ENDPOINT_DESC içerisindeki NULL pointer dereference hatası düzeltildi Kullanıcı alanı, FunctionFS'yi yalnızca tam hız tanımlayıcıları ile kurduğunda (örneğin, flags = FUNCTIONFS_HAS_FS_DESC) ve gadget daha yüksek bir hızda (USB_SPEED_HIGH veya USB_SPEED_SUPER gibi) çalıştığında, config_ep_by_speed() fonksiyonu işlevin mevcut hız için tanımlayıcılardan yoksun olduğunu tespit eder, bir uyarı günlüğüne kaydeder ve tam hız tanımlayıcılarına geri döner. Ardından uç nokta usb_ep_enable() aracılığıyla başarıyla etkinleştirilir ve epfile->ep geçerli hale gelir. Ancak, kullanıcı alanı daha sonra uç nokta tanımlayıcısını sorgulamak için FUNCTIONFS_ENDPOINT_DESC ioctl komutunu verdiğinde, ffs_epfile_ioctl() tanımlayıcı dizinini yalnızca gadget->speed değerine göre seçer: switch (epfile->ffs->gadget->speed) { case USB_SPEED_SUPER: case USB_SPEED_SUPER_PLUS: desc_idx = 2; break; case USB_SPEED_HIGH: desc_idx = 1; break; default: desc_idx = 0; } desc = epfile->ep->descs[desc_idx]; memcpy(&desc1, desc, desc->bLength); Kullanıcı alanı yalnızca tam hız tanımlayıcılarını sağladığı için epfile->ep->descs[1] değeri NULL olur. desc->bLength ifadesinin çözümlenmesi (dereferencing), anında bir kernel NULL pointer dereference paniğine yol açar. Bu durum, mevcut hız tanımlayıcısı sağlanmamışsa alt hız tanımlayıcılarına geri dönülerek, config_ep_by_speed() içindeki geri dönüş mantığına ve geçmiş f_fs davranışına uygun şekilde düzeltilmiştir. Eğer hala eksikse, epfile->ep->ep->desc (aktif tanımlayıcı) değerine geri dönülür ve geçerli bir tanımlayıcı bulunamazsa güvenli bir şekilde -EINVAL döndürülür. Ek olarak, struct usb_ep::desc ile eşleşmek ve niteliklerin atılmasını önlemek için desc, const olarak işaretlenmiştir.