CVE-2026-72486 in Linux
Riassunto
di VulDB • 16/08/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
mailbox: mtk-adsp: correzione di un Use-After-Free (UAF) durante il teardown del dispositivo
Quando il driver audio SOF non riesce a inizializzarsi (ad esempio, per timeout dell'avvio del firmware), l'unwind delle devres libera l'oggetto snd_sof_dev che il client della mailbox (mtk-adsp-ipc) raggiunge tramite chan->cl->rx_callback. Lo shutdown di mtk-adsp-mailbox cancella i registri dei comandi della mailbox ma lascia la linea IRQ non mascherata, quindi un interrupt in ritardo può ancora accodare un handler threadato dopo che mbox_free_channel() aveva già cancellato chan->cl; successivamente, mbox_chan_received_data() attiverebbe il UAF:
BUG: KASAN: slab-use-after-free in sof_ipc3_validate_fw_version sof_ipc3_validate_fw_version sof_ipc3_do_rx_work sof_ipc3_rx_msg mt8196_dsp_handle_request mtk_adsp_ipc_recv mbox_chan_received_data mtk_adsp_mbox_isr irq_thread_fn Freed by task ...: kfree devres_release_all really_probe ... (fallimento del probe di sof-audio-of-mt8196)
Il crash è stato osservato circa tre secondi dopo il fallimento del probe.
Utilizzare disable_irq() nello shutdown e enable_irq() nell'avvio. disable_irq() attende anche eventuali interrupt in corso, quindi al momento in cui mbox_free_channel() procede a cancellare chan->cl nessun rx_callback può essere eseguito.
Inoltre, richiedere l'IRQ con IRQF_NO_AUTOEN affinché rimanga mascherata tra il probe e la prima associazione del client; altrimenti un early interrupt potrebbe causare un crash su chan->cl == NULL in mbox_chan_received_data().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.