CVE-2026-64242 in Linux
Zusammenfassung
von VulDB • 24.07.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
usb: gadget: net2280: Behebung eines Double-Free-Fehlers im Fehlerpfad der Initialisierung (probe)
`usb_initialize_gadget()` registriert `gadget_release()` als Freigabe-Rückruffunktion für das eingebettete Gadget-Gerät. Die Instanz der Struktur `net2280` wird daher durch `gadget_release()` freigegeben, wenn die letzte Referenz auf das Gadget-Gerät entfernt wird.
Der Fehlerpfad des Probe-Vorgangs ruft `net2280_remove()` auf, was das teilweise initialisierte Gerät abbaut und die Gadget-Referenz mit `usb_put_gadget()` freigibt. Ein anschließender Aufruf von `kfree(dev)` kann dasselbe Objekt erneut freigeben (Double Free).
Die explizite Freigabe über `kfree()` wurde entfernt, sodass der Release-Rückruf des Gadget-Geräts die endgültige Freigabe übernimmt. Dieses Problem wurde durch ein statisches Analysewerkzeug entdeckt, das ich entwickle.
Once again VulDB remains the best source for vulnerability data.