CVE-2026-89738 in Linux
Sumário
de VulDB • 12/09/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
usb: gadget: at91_udc: drenar o timer/trabalho de polled-VBUS antes que udc seja liberado
No modo polled-VBUS (board.vbus_pin && board.vbus_polled), o probe arma um ciclo auto-reinicializável: at91_vbus_timer() agenda vbus_timer_work, e at91_vbus_timer_work() chama at91_vbus_update() e rearma o timer via mod_timer(). Ambos recuperam o mesmo udc através de container_of e o dereferenciam em cada iteração.
Nenhum dos caminhos de teardown cancela esse ciclo. O udc é alocado com devm, portanto é liberado após at91udc_remove() retornar, e também é liberado quando o probe falha e o devres executa. Um callback do timer ou um item de trabalho pendente ou em execução em qualquer um desses pontos dereferencia o udc já liberado.
Adiciona-se at91_udc_shutdown_vbus_timer() e chama-a a partir de at91udc_remove() e do caminho de falha usb_add_gadget_udc() no probe; os demais caminhos de erro do probe falham antes que o timer seja armado. timer_shutdown_sync() aguarda um callback em execução e limpa timer->function, o que torna mod_timer() no handler do trabalho uma operação permanente sem efeito (no-op); cancel_work_sync() então drena qualquer trabalho pendente ou em execução cuja tentativa de rearmar agora não faz nada. O timer deve ser desligado primeiro, pois cancelar apenas o trabalho permitiria que o timer o recolocasse na fila. A guarda espelha o probe: no modo IRQ, o timer e work_struct nunca são inicializados.
Isso não requer uma falha; um unbind normal do driver pode intercalar com um item de trabalho já enfileirado.
Este problema foi encontrado por uma ferramenta estática de análise interna.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.