CVE-2026-98385

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été corrigée : sched/cache : découpler sched_cache_group de mm pour corriger l'UAF. Actuellement, le regroupement du cache de l'ordonnanceur se fait par mm et les statistiques d'ordonnancement sched_cache_stat résident dans la structure mm. Cela lie le cycle de vie des statistiques d'ordonnancement à mm. Dans account_mm_sched(), les statistiques d'ordonnancement sont accédées via task->mm->sc_stat. Cependant, une tâche peut changer de mm sur un CPU pendant qu'un autre CPU exécute account_mm_sched(), et accéder éventuellement à l'ancien mm qui a été libéré. Ce problème a été découvert lors de l'exécution de tests avec KASAN par Hyunwoo : https://lore.kernel.org/lkml/apPb-Dr4nPYuHQOK@v4bel/ Au lieu de sérialiser l'accès à mm en introduisant une acquisition supplémentaire du verrou rq dans le chemin de libération de mm, extraire sched_cache_stat de mm_struct, le renommer sched_cache_group et gérer son cycle de vie indépendamment de mm_struct avec son propre comptage de références. Cela nous permet, dans le prochain correctif, d'accéder directement à sched_cache_group depuis la tâche, et d'ajouter un compteur de références sur sched_cache_group lorsqu'une tâche y est liée. Cela empêche le problème d'utilisation après libération lors de l'accès à un ancien mm obsolète et libéré ainsi qu'à ses statistiques de cache d'ordonnancement lorsqu'une tâche bascule vers un nouveau mm pendant que account_mm_sched() est exécuté ailleurs. L'autre avantage de cette restructuration est que, à l'avenir, le regroupement des tâches vers un LLC aura la flexibilité d'être associé à un regroupement défini par l'utilisateur, ou à un cgroup, un groupe de cookies, un numa_group ou autres, au lieu de seulement un espace d'adressage mm unique. Renommer sched_cache_stat en sched_cache_group et le transformer en un objet à comptage de références alloué depuis mm_struct. Le mm_struct détient désormais un pointeur (sched_cache_grp) vers cet objet au lieu de l'incorporer.

Sources

• InfinityCore-Android-CVE-2026-98385PoC