CVE-2026-98180

ملخص

في نواة Linux، تم إصلاح الثغرة الأمنية التالية: drm/msm: تحرير كائنات الحلقة وVM التي تحتوي على المجدول باستخدام RCU. يُضمِّن كلٌّ من struct msm_ringbuffer وstruct msm_gem_vm بنية struct drm_gpu_scheduler. تستدعي كلٌّ من msm_ringbuffer_destroy() ودالة رد نداء تحرير VM المسماة msm_gem_vm_free() الدالة drm_sched_fini() على المجدول المُضمَّن ثم تحرِّر الكائن الحاوي باستخدام kfree() العادية. تُرجع drm_sched_fence_get_timeline_name() القيمة fence->sched->name، ويحتفظ سياج المجدول برد نداء .release بحيث لا يُفصَل عن العمليات (ops-detached) عند الإشارة. يظل السياج المُكتمل المُصدَّر إلى مساحة المستخدم (سياج الإخراج الخاص بالإرسال، أو سياج VM_BIND، عبر sync_file / drm_syncobj) يشير إلى المجدول المُضمَّن بعد تحرير الحلقة/VM، لذا فإن استدعاء get_timeline_name() لاحقًا -- والذي يمكن الوصول إليه دون صلاحيات عبر SYNC_IOC_FILE_INFO -- يقوم بإلغاء الإشارة إلى ذاكرة slab محرَّرة (قراءة KASAN slab-use-after-free). وفقًا لعقد عمر dma-fence، يجب على المُصدِّر إبقاء البيانات الداعمة لسياج مُشار إليه حيّة طوال فترة سماح RCU. حرِّر الكائنات التي تحتوي على المجدول باستخدام kfree_rcu() بدلًا من kfree(). Patchwork: https://patchwork.freedesktop.org/patch/750234/

المصادر

• CVE-2026-98180PoC

  إثبات مفهوم ومُعيد إنتاج KUnit مؤكَّد بـ KASAN للثغرة CVE-2026-98180، وهي ثغرة استخدام بعد التحرير (use-after-free) في drm/msm تخص كائنات الحلقة (ring) والذاكرة الافتراضية (VM) التي تحتوي على المُجدوِل، ويمكن الوصول إليها عبر SYNC_IOC_FILE_INFO من دون امتيازات.