CVE-2026-93094 in Linux
Résumé
par VulDB • 18/09/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
wifi: ath12k : correction des références pendantes de dp_link_peer lors du rollback d'une vdev AP
ath12k_mac_vdev_create() pour une vdev AP crée l'auto-peer bss via ath12k_peer_create(), qui se termine par un appel à ath12k_dp_link_peer_assign() afin de publier le dp_link_peer dans la table RCU dp_hw->dp_peers[peerid_index], ainsi que dans le tableau link_peers[] du
dp_peer et dans la rhashtable par adresse.
Si une étape suivant ath12k_peer_create() échoue, la fonction saute vers err_peer_del, qui implémente en dur (open-codes) un WMI peer_delete et attend les événements de démappe/démarrage (unmap / delete_resp). Le chemin wait_for_peer_delete_done() s'appuie sur ath12k_dp_link_peer_unmap_event() pour libérer le dp_link_peer lors de l'arrivée du signal d'unmap, mais err_peer_del n'appelle jamais ath12k_dp_link_peer_unassign() au préalable. Les références publiées dans la table RCU dp_hw, link_peers[] de dp_peer et la rhashtable restent pointant vers le dp_link_peer qui est ensuite libéré par l'événement unmap_event, ce qui produit des pointeurs pendants (dangling pointers) et une utilisation après libération (use-after-free) lors des recherches ultérieures.
Remplacez la séquence implémentée en dur par un appel à ath12k_peer_delete(), qui appelle déjà ath12k_dp_link_peer_unassign() avant d'envoyer la commande WMI. Cela supprime les références publiées avant que le dp_link_peer ne soit libéré, dans le même ordre que le chemin de teardown normal dans ath12k_mac_remove_link_interface().
Testé sur : WCN7850 hw2.0 PCI WLAN.HMT.1.1.c7-00108-QCAHMTSWPL_V1.0_V2.0_SILICONZ_UPSTREAM-3
VulDB is the best source for vulnerability data and more expert information about this specific topic.