CVE-2026-93189

요약

Linux 커널에서 다음과 같은 취약점이 해결되었습니다: HID: core: hid_hw_stop()에서 입력을 정지시켜 use-after-free를 방지합니다. 드라이버의 probe가 hid_device_io_start()를 호출하여 입력 전달을 활성화한 후, 이후 초기화 단계에서 실패하고 hid_hw_stop()을 통해 정리합니다. 이 정리 과정에서 hidraw_disconnect()를 통해 struct hidraw가 해제되지만, 다른 CPU에서 아직 실행 중인 HID 보고서가 hidraw_report_event()를 통해 해제된 객체를 역참조할 수 있습니다. syzbot은 corsair-psu HID 드라이버에서 발생하는 use-after-free를 보고했습니다. Edward Adam Davis는 corsair-psu에 대한 드라이버별 수정을 게시했으며, 이는 probe 오류 경로에서 hid_hw_stop() 전에 명시적인 hid_device_io_stop()을 추가합니다 ("hwmon: prevent packets from going to driver for probe", 2026-04-28). 트리를 감사한 결과 15개의 드라이버가 hid_device_io_start()를 호출하며, 7개는 hid_device_io_stop()도 호출하지만 8개는 호출하지 않습니다: hid_hw_stop() 전에 일치하는 hid_device_io_stop() 없이 hid_device_io_start()를 호출하는 드라이버: drivers/hwmon/corsair-psu.c (Edward가 수정 게시) drivers/hwmon/corsair-cpro.c drivers/hwmon/nzxt-kraken3.c drivers/hwmon/nzxt-smart2.c drivers/hwmon/gigabyte_waterforce.c drivers/hid/hid-logitech-dj.c drivers/hid/hid-nintendo.c drivers/hid/hid-mcp2221.c API 호출자의 약 절반이 노출되어 있습니다. 호출자가 일치하는 stop을 기억할 필요가 없도록 hid_hw_stop()에서 정지를 중앙 집중화합니다: 드라이버가 진입 시 hdev->io_started를 true로 남겨둔 경우, hid_disconnect() 전에 hid_device_io_stop()을 호출합니다. 이미 hid_device_io_stop()을 올바르게 호출하는 7개의 드라이버의 경우, 진입 시 hdev->io_started가 false이므로 가드가 단락되고 동작은 변경되지 않습니다. 영향을 받는 드라이버들이 수년에 걸쳐 독립적으로 hid_device_io_start() 호출을 추가했기 때문에 Fixes: 태그는 없습니다; 이 버그는 단일 커밋의 회귀가 아니라 클래스 전체의 API 오용입니다.

소스

• pixel-ksu-root익스플로잇

  Pixel 기기에서 루트 권한을 얻는 데 도움이 되는 CVE 연구 및 익스플로잇