CVE-2026-98180

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: drm/msm: RCU-freies Freigeben der schedulerhaltigen Ring- und VM-Objekte. Sowohl struct msm_ringbuffer als auch struct msm_gem_vm betten einen struct drm_gpu_scheduler ein. msm_ringbuffer_destroy() und der VM-Free-Callback msm_gem_vm_free() rufen drm_sched_fini() auf dem eingebetteten Scheduler auf und geben anschließend das enthaltende Objekt mit einfachem kfree() frei. drm_sched_fence_get_timeline_name() gibt fence->sched->name zurück, und der Scheduler-Fence behält einen .release-Callback, sodass er beim Signalisieren nicht ops-detached wird. Ein abgeschlossener Fence, der an den Userspace exportiert wurde (der Submit-Out-Fence oder ein VM_BIND-Fence, über sync_file / drm_syncobj), zeigt nach der Freigabe des Rings/der VM weiterhin auf den eingebetteten Scheduler, sodass ein späterer get_timeline_name()-Aufruf – unprivilegiert über SYNC_IOC_FILE_INFO erreichbar – freigegebenen Slab-Speicher dereferenziert (KASAN slab-use-after-free read). Gemäß dem dma-fence-Lebensdauer-Vertrag muss der Exporter die Daten, die einen signalisierten Fence stützen, für eine RCU-Grace-Period am Leben halten. Geben Sie die schedulerhaltigen Objekte mit kfree_rcu() statt mit kfree() frei. Patchwork: https://patchwork.freedesktop.org/patch/750234/

Quellen

• CVE-2026-98180PoC

  Proof-of-Concept und KASAN-bestätigter KUnit-Reproduzierer für CVE-2026-98180, einen drm/msm Use-after-free von schedulerhaltigen Ring- und VM-Objekten, die über unprivilegiertes SYNC_IOC_FILE_INFO erreichbar sind.