> кто/что с кем/чем гоняется?

Вот смотри, есть такая фигня:

Thread1:

  struct example *a;

  a = kmalloc(sizeof(*a), GFP_KERNEL);
  if (!a)
          return -ENOMEM;

  free(a);

  /*
   * USE-AFTER-FREE
   */

  a->foo = 1;
  a->bar = 2;

Thread2:

  struct example *b;

  b = kmalloc(sizeof(*b), GFP_KERNEL);
  if (!b)
          return -ENOMEM;

  b->foo = 1;
  b->bar = 2;

  free(b);

Внутри kmalloc работает SLAB кеш:

# grep '^kmalloc-4k' /proc/slabinfo
kmalloc-4k           808    808   4096    8    8 : tunables    0    0    0 : slabdata    101    101      0

Это значит, что когда kmalloc выделяет память, он берет из per-CPU SLAB кеша уже готовый элемент и отдает отдает его тебе виде указателя на память. Когда ты делаешь free, элемент помечается как свободный и пихается обратно в per-CPU SLAB кеш. Лулз в том, что оставшийся указатель у Thread1 при этом никуда не девается, и он все так же может писать в элемент, который аллокатор уже отдал Thread2.