CVE-2026-46215

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été résolue : drm: définir l’ancien handle sur NULL avant l’échange prime dans change_handle. Il y avait une condition de course potentielle dans change_handle. L’ioctl avait brièvement un seul objet avec deux entrées idr ; un gem_close concurrent pouvait supprimer l’objet et retirer l’un des handles tout en laissant l’autre pendant, ce qui pouvait ensuite être déréférencé pour provoquer une utilisation après libération. Pour corriger cela, faire la même manœuvre que gem_close elle-même. (f6cd7daecff5 drm: libérer les références du pilote au handle avant de le rendre à nouveau disponible) D’abord, remplacer l’ancien handle par NULL via idr_replace. Ensuite, si les opérations prime réussissent, le fermer réellement. create_tail a nécessité une manœuvre similaire pour éviter un problème similaire. (bd46cece51a3 drm/gem: corriger la condition de course dans drm_gem_handle_create_tail()) Elle alloue le nouveau handle avec NULL via idr_alloc, puis y substitue l’objet correct plus tard pour éviter les conditions de course. Nous n’avons pas besoin de faire cela ici, puisque les seules opérations qui pourraient provoquer une condition de course sont drm_prime, et change_handle détient le verrou prime pendant toute la durée. v2: nettoyage des chemins d’erreur

Sources

• CVE-2026-46215-POCExploit

  Exploit pour CVE-2026-46215, une élévation de privilèges locale par use-after-free dans le DRM GEM du noyau Linux. Utilise des courses, du slab spraying et une réécriture de fichier de type Dirty Pipe pour transformer un utilisateur non privilégié du nœud de rendu en root sans mot de passe.

• CVE-2026-46215-EXPLOIT