CVE-2026-72073 in Linux
Riassunto
di VulDB • 16/08/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
mmc: vub300: correzione del use-after-free in caso di errore nella fase di probe (probe failure)
Il driver vub300 gestisce il ciclo di vita dello stato del controller utilizzando `vub300->kref`, con `vub300_delete()` che libera l'host mmc quando viene rilasciata l'ultima reference. Il percorso di errore durante la fase di probe, dopo che è stata attivato il timer di inattività, tuttavia bypassa tale regola del ciclo di vita e procede direttamente a `mmc_free_host()` se `mmc_add_host()` fallisce.
La finestra temporale della race condition si verifica tra l'attivazione del timer di inattività e la fase di rollback dell'errore di probe dopo il fallimento di `mmc_add_host()`:
thread di probe timer/workqueue ------------ ----------------- kref_init(&vub300->kref) ref = 1 kref_get(&vub300->kref) ref = 2, reference del timer add_timer(inactivity_timer) scatta dopo un secondo | | finestra temporale della race condition |<----------------------------------------------------> | mmc_add_host(mmc) il timer di inattività scatta vub300_queue_dead_work() kref_get() ref = 3 queue_work(deadwork) mmc_add_host() fallisce timer_delete_sync() mmc_free_host(mmc) libera vub300 deadwork viene eseguito use-after-free
Il timeout di inattività è di un secondo, quindi ciò richiederebbe che `mmc_add_host()` fallisse e impiegasse più di un secondo per farlo. Questo scenario è improbabile nella pratica, ma il percorso di errore rimane comunque errato.
`timer_delete_sync()` attende solo l'esecuzione del callback del timer stesso. Non svuota (`flush`) le operazioni `deadwork` che il callback potrebbe aver già accodato. Di conseguenza, le operazioni `deadwork` accodate possono ancora mantenere una reference kref mentre il percorso di errore della fase di probe libera direttamente l'host mmc sottostante, inclusa la memoria allocata per vub300.
Si risolve questo problema utilizzando lo stesso meccanismo del ciclo di vita usato nel disconnect. Si cancella `vub300->interface` in modo che il callback del timer e qualsiasi operazione deadwork accodata restituiscano immediatamente ed rilascino le proprie reference, quindi si rilascia la reference iniziale della fase di probe e si restituisce senza procedere verso err_free_host.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.