Odebrany

CVE-2026-89625

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

HID: sony: napraw UAF ghl_poke_timer / ghl_urb przy rozłączaniu sterownika

W przypadku kluczy sprzętowych GHL (Guitar Hero Live) sony_probe() uzbraja okresowy timer:
ghl_magic_poke() (wywołanie zwrotne timera) przesyła sc->ghl_urb i URB
zakończenie ghl_magic_poke_cb() ponownie uzbraja timer za pomocą mod_timer().

sony_remove() opróżniło timer za pomocą timer_delete_sync(), a następnie zwolniło
URB za pomocą usb_free_urb():

timer_delete_sync(&sc->ghl_poke_timer);
usb_free_urb(sc->ghl_urb);

timer_delete_sync() nie blokuje ponownego uzbrojenia, gdy URB jest włączony
lotu, licznik czasu nie oczekuje, więc usunięcie synchronizacji nie wchodzi w grę. URB
zakończenie, które jest uruchamiane po usunięciu, ponownie uzbraja timer, a usb_free_urb()
usuwa tylko odniesienie - nie zabija URB w locie. sc jest
przydzielane za pomocą devm_kzalloc() i zwalniane po powrocie sony_remove(), więc
ponownie uzbrojony ghl_poke_timer (wbudowany w sc), a następnie uruchamia zwolnioną pamięć, a
użyj po-wolny od timera softirq. To jest wyścig o rozłączenie/rmmod.

Najpierw zatruj URB, a następnie wyłącz licznik czasu, zanim uwolnisz URB.
usb_poison_urb() zabija wszystkie URB w locie i trwale odrzuca dalsze
zgłoszeń, więc licznik czasu poke, który wciąż oczekuje, nie może przesłać ponownie
URB z ghl_magic_poke() w oknie przed uruchomieniem timera_shutdown_sync().
usb_kill_urb() nie wystarczy: anuluje jedynie URB w locie i
pozostawia możliwość przesłania po powrocie, więc oczekujący licznik czasu może
prześlij go ponownie i umieść nowy URB w locie nad uwolnionym sc.
timer_shutdown_sync() następnie wyczerpuje ostatnie wywołanie zwrotne i blokuje ponowne uzbrojenie.
Ścieżka błędu sondy pozostaje niezmieniona: zostaje osiągnięta dopiero przed upływem czasu
jest uzbrojony.

Powielone przez KASAN w następnym roku 20260710 poprzez dummy_hcd + raw-gadget
emulacja klucza sprzętowego GHL PS4 (VID 0x1430 / PID 0x07bb): hid-sony binds
i uzbraja timer poke, poke URB jest utrzymywany w locie, kierowca jest
niezwiązany (uwalniający sc), następnie uwalniany jest URB. Zakończenie ponownie uzbraja
timer na uwolnionym sc, a ponownie uzbrojony timer uruchamia się ~8 s później:

BŁĄD: KASAN: użycie płyty po zwolnieniu w ghl_magic_poke+0x98/0xb0
Odczyt rozmiaru 8 pod adresem ffff88810b02fd50 przez funkcję zamiany zadań/0/0
ghl_magic_poke+0x98/0xb0
call_timer_fn+0x35/0x2b0
__run_timers+0x69c/0x9a0
run_timer_softirq+0x173/0x2a0
Przydzielone przez zadanie 169: sony_probe
Uwolniony przez zadanie 338: devres_release_group <- hid_device_remove (sony_remove)

Znaleziono przez 0sec (https://0sec.ai) za pomocą automatycznej analizy źródła.

In the Linux kernel, the following vulnerability has been resolved:

HID: sony: fix UAF of ghl_poke_timer / ghl_urb at driver unbind

For GHL (Guitar Hero Live) dongles, sony_probe() arms a periodic timer:
ghl_magic_poke() (the timer callback) submits sc->ghl_urb, and the URB
completion ghl_magic_poke_cb() re-arms the timer with mod_timer().

sony_remove() drained the timer with timer_delete_sync() and then freed
the URB with usb_free_urb():

timer_delete_sync(&sc->ghl_poke_timer);
usb_free_urb(sc->ghl_urb);

timer_delete_sync() does not block re-arming, and while the URB is in
flight the timer is not pending, so the sync delete is a no-op. A URB
completion that runs after the delete re-arms the timer, and usb_free_urb()
only drops a reference -- it does not kill an in-flight URB. sc is
allocated with devm_kzalloc() and freed once sony_remove() returns, so the
re-armed ghl_poke_timer (embedded in sc) then fires on freed memory, a
use-after-free from timer softirq. This is a disconnect/rmmod race.

Poison the URB first, then shut the timer down, before freeing the URB.
usb_poison_urb() kills any in-flight URB and permanently rejects further
submissions, so a poke timer that is still pending cannot re-submit the
URB from ghl_magic_poke() in the window before timer_shutdown_sync() runs.
usb_kill_urb() would not suffice: it only cancels the in-flight URB and
leaves it submittable once it returns, so the pending timer could
re-submit it and put a fresh URB in flight over the freed sc.
timer_shutdown_sync() then drains any last callback and blocks re-arming.
The probe error path is unaffected: it is only reached before the timer
is armed.

Reproduced under KASAN on next-20260710 via dummy_hcd + raw-gadget
emulation of the GHL PS4 dongle (VID 0x1430 / PID 0x07bb): hid-sony binds
and arms the poke timer, the poke URB is held in flight, the driver is
unbound (freeing sc), then the URB is released. The completion re-arms the
timer on the freed sc, and the re-armed timer fires ~8 s later:

BUG: KASAN: slab-use-after-free in ghl_magic_poke+0x98/0xb0
Read of size 8 at addr ffff88810b02fd50 by task swapper/0/0
ghl_magic_poke+0x98/0xb0
call_timer_fn+0x35/0x2b0
__run_timers+0x69c/0x9a0
run_timer_softirq+0x173/0x2a0
Allocated by task 169: sony_probe
Freed by task 338: devres_release_group <- hid_device_remove (sony_remove)

Found by 0sec (https://0sec.ai) using automated source analysis.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve