CVE-2026-98180

सारांश

Linux कर्नेल में, निम्नलिखित भेद्यता का समाधान किया गया है: drm/msm: शेड्यूलर युक्त रिंग और VM ऑब्जेक्ट्स को RCU-मुक्त करें। struct msm_ringbuffer और struct msm_gem_vm दोनों में एक struct drm_gpu_scheduler एम्बेडेड है। msm_ringbuffer_destroy() और VM मुक्त कॉलबैक msm_gem_vm_free() एम्बेडेड शेड्यूलर पर drm_sched_fini() को कॉल करते हैं और फिर साधारण kfree() के साथ युक्त ऑब्जेक्ट को मुक्त करते हैं। drm_sched_fence_get_timeline_name() fence->sched->name लौटाता है, और शेड्यूलर फेंस एक .release कॉलबैक रखता है ताकि सिग्नलिंग पर यह ops-डिटैच्ड न हो। userspace को निर्यात किया गया एक समाप्त फेंस (submit out-fence, या VM_BIND fence, sync_file / drm_syncobj के माध्यम से) रिंग/VM के मुक्त होने के बाद भी एम्बेडेड शेड्यूलर की ओर इंगित करता रहता है, इसलिए बाद में get_timeline_name() -- जो SYNC_IOC_FILE_INFO के माध्यम से अनप्रिविलेज्ड रूप से पहुँच योग्य है -- मुक्त स्लैब मेमोरी को डीरेफ़रेंस करता है (KASAN slab-use-after-free read)। dma-fence लाइफटाइम अनुबंध के अनुसार निर्यातक को सिग्नल किए गए फेंस का समर्थन करने वाले डेटा को एक RCU ग्रेस पीरियड तक जीवित रखना चाहिए। शेड्यूलर युक्त ऑब्जेक्ट्स को kfree() के बजाय kfree_rcu() के साथ मुक्त करें। Patchwork: https://patchwork.freedesktop.org/patch/750234/

स्रोत

• CVE-2026-98180PoC

  CVE-2026-98180 के लिए प्रूफ-ऑफ-कॉन्सेप्ट और KASAN-पुष्ट KUnit रिप्रोड्यूसर, जो drm/msm में शेड्यूलर-युक्त रिंग और VM ऑब्जेक्ट्स का use-after-free है, जिसे अनप्रिविलेज्ड SYNC_IOC_FILE_INFO के माध्यम से पहुँचा जा सकता है।