CVE-2026-98180

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été corrigée : drm/msm : libérer via RCU les objets ring et VM contenant le scheduler. Les structures `struct msm_ringbuffer` et `struct msm_gem_vm` intègrent toutes deux un `struct drm_gpu_scheduler`. `msm_ringbuffer_destroy()` et le callback de libération de VM `msm_gem_vm_free()` appellent `drm_sched_fini()` sur le scheduler intégré, puis libèrent l'objet conteneur avec un simple `kfree()`. `drm_sched_fence_get_timeline_name()` renvoie `fence->sched->name`, et la fence du scheduler conserve un callback `.release` afin de ne pas être détachée des ops lors de la signalisation. Une fence terminée exportée vers l'espace utilisateur (la fence de sortie de soumission, ou une fence VM_BIND, via sync_file / drm_syncobj) continue de pointer vers le scheduler intégré après la libération du ring/VM, de sorte qu'un appel ultérieur à `get_timeline_name()` — accessible sans privilèges via `SYNC_IOC_FILE_INFO` — déréférence de la mémoire slab libérée (lecture use-after-free de slab détectée par KASAN). Selon le contrat de durée de vie des dma-fence, l'exportateur doit maintenir en vie les données sous-jacentes à une fence signalée pendant une période de grâce RCU. Libérer les objets contenant le scheduler avec `kfree_rcu()` au lieu de `kfree()`. Patchwork : https://patchwork.freedesktop.org/patch/750234/

Sources

• CVE-2026-98180PoC

  Preuve de concept et reproducteur KUnit confirmé par KASAN pour CVE-2026-98180, un use-after-free dans drm/msm touchant des objets ring et VM contenant le scheduler, accessibles via SYNC_IOC_FILE_INFO non privilégié.