CVE-2026-64103 in Linux
Zusammenfassung
von VulDB • 20.07.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
scsi: isci: Behebung eines Use-After-Free-Fehlers im Pfad zur Geräteentfernung
Der ISCI-Aufgabenabschlusstrigger (completion tasklet) wird in `isci_host_alloc()` initialisiert (drivers/scsi/isci/init.c:496) und sowohl von MSI-X- als auch von Legacy-Interrupt-Handlern aufgerufen (drivers/scsi/isci/host.c:223, 613).
`isci_host_deinit()` stoppt den Controller und wartet auf das Beenden des Stoppvorgangs, tötet jedoch `completion_tasklet` nicht vor dem Fortsetzen der Teardown-Prozedur. Ein Aufruf von `tasklet_kill()` am Anfang der Funktion reicht hier nicht aus: Interrupts werden erst deaktiviert, wenn `isci_host_stop_complete()` ausgeführt wird; daher können die IRQ-Handler den Tasklet weiterhin neu einreihen, bis `wait_for_stop()` zurückkehrt. Der Callback des Tasklets aktiviert Interrupts nach dem Abarbeiten von Abschlüssen erneut wieder. Das Töten des Tasklets vor Beruhigung der Quelle lässt somit dieselbe Race Condition offen.
Sobald `wait_for_stop()` zurückkehrt, kann keine weitere IRQ-gesteuerte Planung mehr stattfinden. Dort wird `completion_tasklet` beendet, damit beim Teardown kein Wettlauf mit einem eingereihten und auf einer ungültigen ihost-Instanz ausgeführten Tasklet entstehen kann. Bei der Entfernung oder dem Entladen könnte der veraltete Callback andernfalls auf `ihost` zugreifen (`dereference`) und nach Ablauf der Lebensdauer des Hosts auf `ihost->smu_registers` zugreifen.
Ein Analogon mit UML + KASAN hat die Fehlerklasse sowohl ohne `tasklet_kill()` als auch bei Platzierung von `tasklet_kill()` vor dem Beruhigen der Quelle reproduziert; es blieb sauber, sobald das Töten nach dem Beruhigen der Planungsquelle erfolgte.
Dies entspricht Commit f6ab594672d4 („scsi: aic94xx: Behebung eines Use-After-Free-Fehlers im Pfad zur Geräteentfernung“), jedoch benötigt ISCI das Töten nach `wait_for_stop()`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.