CVE-2026-98180

Resumen

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/msm: liberar mediante RCU el anillo que contiene el planificador y los objetos VM Tanto struct msm_ringbuffer como struct msm_gem_vm incorporan un struct drm_gpu_scheduler. msm_ringbuffer_destroy() y el callback de liberación de VM msm_gem_vm_free() llaman a drm_sched_fini() sobre el planificador incorporado y después liberan el objeto contenedor con un kfree() simple. drm_sched_fence_get_timeline_name() devuelve fence->sched->name, y el fence del planificador mantiene un callback .release, por lo que no se desvincula de ops al señalizarse. Un fence finalizado exportado a espacio de usuario (el out-fence del submit, o un fence de VM_BIND, mediante sync_file / drm_syncobj) sigue apuntando al planificador incorporado después de que se liberan el anillo/VM, por lo que una llamada posterior a get_timeline_name() -- accesible sin privilegios a través de SYNC_IOC_FILE_INFO -- desreferencia memoria slab liberada (lectura slab-use-after-free detectada por KASAN). Según el contrato de vida útil de dma-fence, el exportador debe mantener vivos los datos que respaldan un fence señalizado durante un periodo de gracia de RCU. Liberar los objetos que contienen el planificador con kfree_rcu() en lugar de kfree(). Patchwork: https://patchwork.freedesktop.org/patch/750234/

Fuentes

• CVE-2026-98180PoC

  Prueba de concepto y reproductor KUnit confirmado por KASAN para CVE-2026-98180, un use-after-free en drm/msm de objetos ring y VM que contienen el planificador, accesibles mediante SYNC_IOC_FILE_INFO sin privilegios.