CVE-2026-64377

Beschreibung

Im Linux-Kernel wurde die folgende Sicherheitsanfälligkeit behoben: cpufreq: qcom-cpufreq-hw: Fix possible double free qcom cpufreq.data wird mit devm kzalloc() in probe() als Array von per-domain-Daten zugewiesen. qcom cpufreq hw cpu init() speichert einen Zeiger auf ein Element dieses Arrays in policy->driver data. qcom cpufreq hw cpu exit() ruft derzeit kfree() auf policy->driver data auf. Dies ist nicht gültig, da der Speicher devm-verwaltet ist. Für die erste Domäne kann diese die devm-verwaltete Zuweisung freigeben, während der devres-Eintrag noch aktiv ist, was zu einem möglichen doppelten Freigeben führt, wenn das Plattformgerät später getrennt wird. Für andere Domänen kann sich der Zeiger eher auf ein Element innerhalb des Arrays als auf die Zuweisungsbasis beziehen. Entfernen Sie den Aufruf kfree(data) und lassen Sie devres qcom cpufreq.data freigeben. Dieses Problem wurde von einem statischen Analyse-Tool gefunden, das ich entwickle.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: linux linux kernel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.