CVE-2026-99053

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: tipc: bağlantı adı ile bulunan düğümlere referans tutulması tipc_node_find_by_name(), bir referans almadan RCU okuma kilidini bıraktıktan sonra bir düğüm döndürür. Ardından LINK_SET, LINK_GET ve LINK_RESET_STATS işleyicileri düğümü kilitler ve erişir; bu durum, çökmüş bir eşin zamanlayıcı tabanlı temizleme işlemiyle yarış durumuna (race condition) girer. Genel netlink serileştirmesi, düğüm zamanlayıcısını hariç tutmaz. Aşağıdaki iç içe geçme durumu, bir işleyicinin serbest bırakılmış bir düğümü kullanmasına neden olabilir: CPU 0: RCU altında düğümü bulur ve düğüm okuma kilidini serbest bırakır CPU 1: tipc_node_timeout() bağlantıları temizler ve çökmüş düğümün bağlantısını keser CPU 1: liste ve zamanlayıcı referanslarını düşürerek tipc_node_free()'yi kuyruğa alır CPU 0: RCU okuma tarafı kritik bölümünden ayrılır CPU 1: lütuf süresini (grace period) tamamlar ve düğümü serbest bırakır CPU 0: bayat işaretçi üzerinden düğüm kilidini edinir LINK_SET ayrıca, kuyruğa alınmış paketleri tipc_bearer_xmit()'e aktarırken, düğüm kilidini serbest bıraktıktan sonra düğümün medya adresini kullanır. v7.3-rc5 üzerindeki KASAN şunları raporlamıştır: BUG: KASAN: slab-use-after-free in _raw_read_lock_bh Write of size 4 at addr ffff88807e06f008 by task poc/92 Call Trace: _raw_read_lock_bh kernel/locking/spinlock.c:287 tipc_nl_node_set_link net/tipc/node.c:2475 genl_family_rcv_msg_doit net/netlink/genetlink.c:1114 genl_rcv_msg net/netlink/genetlink.c:1209 netlink_rcv_skb net/netlink/af_netlink.c:2575 Allocated by task 0: tipc_node_create net/tipc/node.c:539 tipc_node_check_dest net/tipc/node.c:1196 tipc_disc_rcv net/tipc/discover.c:252 Freed by task 92: kfree mm/slub.c:6801 rcu_core kernel/rcu/tree.c:2919 Last potentially related work creation: __call_rcu_common.constprop.0 kernel/rcu/tree.c:3181 tipc_node_timeout net/tipc/node.c:814 RCU'dan ayrılmadan önce seçilen düğüme kref_get_unless_zero() ile bir referans alınır; eğer düğüm zaten serbest bırakılmışsa NULL döndürülür. Bu referans, LINK_SET içerisindeki iletim dahil olmak üzere, son düğüm erişiminden sonra her çağrıcı çıkışında serbest bırakılır. Eşzamanlı bağlantı kaldırma işlemlerinin mevcut hata yollarını izlemeye devam etmesi için mevcut bağlantı arama sırası ve kilitleme korunmuştur.