CVE-2026-99001

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: drm/xe/i2c: kaldırma işleminde istemci işini iptal et xe_i2c_notifier(), adaptör xe I2C platform aygıtı altında kaydedildiğinde DesignWare adaptörünü i2c->adapter içinde saklar ve i2c->work işlemini planlar; ardından xe_i2c_client_work(), söz konusu adaptör üzerinde AMC istemci aygıtını örneklendirir. xe_i2c_remove(); AMC'yi yıkar, istemci aygıtlarını, veri yolu bildirimcisini ve adaptör platform aygıtını kayıttan siler ancak i2c->work işlemini hiçbir zaman boşaltmaz. Adaptör kaydı silindiğinde hala kuyrukta olan veya çalışan bir iş öğesi, platform_device_unregister() adaptörü serbest bıraktıktan sonra i2c_new_client_device() içinde i2c->adapter referansını çözer. İş öğesi aynı zamanda devm ile tahsis edilen struct xe_i2c içine gömülüdür, bu nedenle drm aygıtı devm geri sarma işlemi bu tahsisi serbest bıraktıktan sonra hala kuyrukta olan bir iş öğesi, geri çağırma işlemini serbest bırakılmış bellek üzerinde çalıştırır. Bu işi planlayan tek şey veri yolu bildirimcisidir ve bu bildirimci istemci aygıtlarından sonra kayıttan silinir. Yıkım işlemi sırasında hala kuyrukta olan bir örnek, döngü aynı diziyi kayıttan silip temizlerken i2c->client[XE_I2C_CLIENT_AMC] üzerine yazabilir ve geç örneklendirdiği bir AMC istemcisi yalnızca i2c_del_adapter() içindeki adaptörün kendi alt taraması tarafından temizlenir. bus_unregister_notifier() fonksiyonunu istemci yıkım döngüsünün önüne taşıyın ve hemen ardından işi iptal edin; böylece yeni bir örnek planlanamaz ve kuyruktaki bir örnek istemci dizisine dokunulmadan önce boşaltılır. Çalışan bir örnek, adaptör daha sonra kayıttan silindiği için hala canlı bir adaptör bulur. (a23f27d5ec11c3f418c5e5531eea34ccda2b5b20 commit'inden cherry pick yapılmıştır)