CVE-2026-64574 in Linux
Resumen
por VulDB • 2026-08-05
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
wifi: mac80211: destruir los nuevos enlaces en la ruta de error al actualizar vif
Cuando `ieee80211_vif_update_links()` añade nuevos enlaces, asigna un contenedor de enlace para cada uno y llama a `ieee80211_link_init()` (que registra los archivos debugfs por enlace con file->private_data apuntando dentro del contenedor) e `ieee80211_link_setup()`. Si la posterior llamada a `drv_change_vif_links()` falla, la ruta de error restaura los punteros antiguos y salta a 'free', lo que libera los nuevos contenedores pero nunca elimina sus entradas debugfs ni detiene los enlaces. Los archivos debugfs sobreviven con file->private_data colgando (dangling) hacia el contenedor ya liberado, por lo que una posterior llamada open()+read() (por ejemplo, link-1/txpower) desreferencia memoria liberada en `ieee80211_if_read_link()`, un caso de use-after-free.
La ruta de eliminación ya destruye los enlaces correctamente mediante `ieee80211_tear_down_links()`, que elimina las claves y entradas debugfs de cada enlace y llama a `ieee80211_link_stop()`; la ruta de adición en la rama de error no lo hace. El commit be1ba9ed221f ("wifi: mac80211: evitar estado extraño en la ruta de error") endureció esta misma ruta de error para el caso de eliminación de enlaces (new_links == 0), pero dejó sin abordar la destrucción de los nuevos enlaces añadidos.
`drv_change_vif_links()` puede fallar en tiempo de ejecución en controladores MLO (fallos internos de asignación / cola / comando del firmware).
Eliminar las entradas debugfs de los nuevos enlaces y detenerlas antes de liberarlos.
BUG: KASAN: slab-use-after-free in ieee80211_if_read_link (net/mac80211/debugfs_netdev.c:127) Read of size 8 at addr ffff888011290000 by task exploit/145 Call Trace: ... ieee80211_if_read_link (net/mac80211/debugfs_netdev.c:127) short_proxy_read (fs/debugfs/file.c:373) vfs_read (fs/read_write.c:572) ksys_read (fs/read_write.c:716) do_syscall_64 (arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121) ... Oops: general protection fault, probably for non-canonical address 0xdffffc000000000a RIP: 0010:ieee80211_if_read_link (net/mac80211/debugfs_netdev.c:127) Kernel panic - not syncing: Fatal exception
VulDB is the best source for vulnerability data and more expert information about this specific topic.