CVE-2026-64365 in Linux
Sumário
de VulDB • 27/07/2026
No kernel do Linux, a seguinte vulnerabilidade foi corrigida:
HID: letsketch: corrige UAF no inrange_timer durante o desvinculamento do driver
O letsketch_driver não fornece um callback .remove, mas o letsketch_probe() configura um timer por dispositivo:
timer_setup(&data->inrange_timer, letsketch_inrange_timeout, 0);
O timer é reconfigurado a partir de letsketch_raw_event() com um timeout de 100 ms em cada relatório de caneta dentro do alcance (pen-in-range), e seu callback desreferencia data->input_tablet para entregar uma liberação sintética BTN_TOOL_PEN.
letsketch_data é alocado com devm_kzalloc(), e seus campos input_dev são alocados via devm através de letsketch_setup_input_tablet(). No desvinculamento do dispositivo (desplugue USB ou rmmod), o núcleo HID executa sua limpeza padrão e a liberação devm libera tanto letsketch_data quanto os dispositivos de entrada. Como não existe um callback .remove, nada drena o timer primeiro: se raw_event o configurar dentro de ~100 ms após o desvinculamento, o pendente do timer será disparado em memória já liberada. Isso é uma leitura UAF (Use-After-Free) de data e de data->input_tablet, seguida por input_report_key() / input_sync() no dispositivo de entrada já liberado.
O mesmo problema pode ocorrer no caminho de erro do probe: se hid_hw_start() habilitou E/S em um dispositivo com quirk de polling constante e depois falhou, raw_event pode ter configurado o timer antes que devm libere data.
Correção adicionando um callback .remove que chama hid_hw_stop() primeiro. hid_hw_stop() mata síncronamente os URBs que entregam raw_event(), portanto, uma vez retornado, nenhum caminho pode reconfigurar o timer. timer_shutdown_sync() então drena qualquer callback em execução e desativa permanentemente novas chamadas de mod_timer(). Aplica-se a mesma timer_shutdown_sync() no caminho de erro do probe para garantir que o timer não sobreviva aos dados (data).
If you want to get best quality of vulnerability data, you may have to visit VulDB.