CVE-2026-23192

В ядре Linux устранена следующая уязвимость: linkwatch: используйте __dev_put() в вызывающих объектах, чтобы предотвратить UAF После того, как linkwatch_do_dev() вызывает __dev_put(), чтобы освободить linkwatch. ссылка, счетчик ссылок устройства может упасть до 1. На этом этапе netdev_run_todo() может продолжить работу (поскольку linkwatch_sync_dev() видит пустой список и возвращается без блокировки), дождитесь, пока счетчик ссылок достигнет станьте 1 с помощью netdev_wait_allrefs_any(), а затем освободите устройство через kobject_put(). Это создает использование после освобождения, когда __linkwatch_run_queue() пытается вызовите netdev_unlock_ops() на уже освобожденном устройстве.

Обратите внимание, что добавление пары netdev_lock_ops()/netdev_unlock_ops() в netdev_run_todo() перед kobject_put() не будет работать, потому что netdev_lock_ops() является условным — он блокируется только тогда, когда netdev_need_ops_lock() возвращает true. Если устройство не требует ops_lock, linkwatch не будет удерживать блокировки и netdev_run_todo() получение блокировки не обеспечит синхронизацию. Исправьте это, переместив __dev_put() из linkwatch_do_dev() в его звонящие.

Ссылка на устройство логически сочетается с исключением из списка устройство, поэтому для звонящего, который удалил его из списка, разумно чтобы освободить его. Это позволяет разместить __dev_put() после всех устройств. доступы завершены, предотвращая UAF. Ошибку можно воспроизвести, добавив mdelay(2000) после linkwatch_do_dev() в __linkwatch_run_queue(), затем выполняется: ip tuntap добавить режим имя канала tun_test IP-ссылка настроена Tun_test вверх IP-ссылка отключила оператор связи tun_test IP-ссылка включает оператора связи tun_test спать 0,5 ip tuntap del mode имя канала tun_test Отчет КАСАН: ============================================================== ОШИБКА: KASAN: использование после освобождения в netdev_need_ops_lock include/net/netdev_lock.h:33 [inline] ОШИБКА: KASAN: использование после освобождения в netdev_unlock_ops include/net/netdev_lock.h:47 [inline] ОШИБКА: KASAN: использование после освобождения в __linkwatch_run_queue+0x865/0x8a0 net/core/link_watch.c:245 Чтение размера 8 по адресу ffff88804de5c008 с помощью задачи kworker/u32:10/8123.

ЦП: 0 UID: 0 PID: 8123 Связь: kworker/u32:10 Не испорченный syzkaller #0 PREEMPT(полный) Название оборудования: QEMU Standard PC (Q35+ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 01.04.2014 Рабочая очередь: event_unbound linkwatch_event Отслеживание вызова: <ЗАДАЧА> __dump_stack lib/dump_stack.c:94 [встроенный] dump_stack_lvl+0x100/0x190 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [встроенный] print_report+0x156/0x4c9 мм/kasan/report.c:482 kasan_report+0xdf/0x1a0 мм/kasan/report.c:595 netdev_need_ops_lock include/net/netdev_lock.h:33 [встроенный] netdev_unlock_ops include/net/netdev_lock.h:47 [встроенный] __linkwatch_run_queue+0x865/0x8a0 net/core/link_watch.c:245 linkwatch_event+0x8f/0xc0 net/core/link_watch.c:304 process_one_work+0x9c2/0x1840 ядро/workqueue.c:3257 process_scheduled_works ядро/workqueue.c:3340 [встроенный] worker_thread+0x5da/0xe40 ядро/workqueue.c:3421 kthread+0x3b3/0x730 ядро/kthread.c:463 ret_from_fork+0x754/0xaf0 Arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 Arch/x86/entry/entry_64.S:246 </TASK> ==============================================================

Строка CVSS v3.1

Тип уязвимости (CWE)

Уязвимые продукты 16

Ссылки 2