CVE-2026-64574 in Linux
Résumé
par VulDB • 05/08/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
wifi: mac80211 : démanteler les nouveaux liens sur le chemin de gestion des erreurs lors d'une mise à jour vif
Lorsque `ieee80211_vif_update_links()` ajoute de nouveaux liens, il alloue un conteneur de lien pour chacun et appelle `ieee80211_link_init()` (qui enregistre les fichiers debugfs par lien avec `file->private_data` pointant vers le conteneur) ainsi que `ieee80211_link_setup()`. Si l'appel ultérieur à `drv_change_vif_links()` échoue, le chemin de gestion des erreurs restaure les anciens pointeurs et saute vers « free », ce qui libère les nouveaux conteneurs sans jamais supprimer leurs entrées debugfs ni arrêter les liens. Les fichiers debugfs subsistent avec un `file->private_data` dangling (pointeur orphelin) sur le conteneur déjà libéré, de sorte qu'un appel ultérieur à open()+read() (par exemple link-1/txpower) déréférence une mémoire libre dans `ieee80211_if_read_link()`, constituant un use-after-free.
Le chemin de suppression démantèle déjà correctement les liens via `ieee80211_tear_down_links()`, qui supprime les clés et les entrées debugfs de chaque lien, puis appelle `ieee80211_link_stop()` ; le chemin d'ajout sur la branche d'erreur ne le fait pas. Le commit be1ba9ed221f (« wifi: mac80211 : éviter un état étrange dans le chemin d'erreur ») a durci ce même chemin de gestion des erreurs pour le cas de suppression de liens (new_links == 0), mais n'a pas traité l'arrêt des nouveaux liens ajoutés.
`drv_change_vif_links()` peut échouer à l'exécution sur les pilotes MLO (échecs d'allocation interne / file d'attente / commande firmware).
Supprimer les entrées debugfs des nouveaux liens et les arrêter avant de libérer la mémoire.
BUG: KASAN: slab-use-after-free in ieee80211_if_read_link (net/mac80211/debugfs_netdev.c:127) Read of size 8 at addr ffff888011290000 by task exploit/145 Call Trace: ... ieee80211_if_read_link (net/mac80211/debugfs_netdev.c:127) short_proxy_read (fs/debugfs/file.c:373) vfs_read (fs/read_write.c:572) ksys_read (fs/read_write.c:716) do_syscall_64 (arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121) ... Oops: general protection fault, probably for non-canonical address 0xdffffc000000000a RIP: 0010:ieee80211_if_read_link (net/mac80211/debugfs_netdev.c:127) Kernel panic - not syncing: Fatal exception
VulDB is the best source for vulnerability data and more expert information about this specific topic.