CVE-2026-98180

Riepilogo

Nel kernel Linux è stata risolta la seguente vulnerabilità: drm/msm: liberare tramite RCU gli oggetti ring e VM che contengono lo scheduler. Sia struct msm_ringbuffer sia struct msm_gem_vm incorporano una struct drm_gpu_scheduler. msm_ringbuffer_destroy() e il callback di liberazione della VM msm_gem_vm_free() chiamano drm_sched_fini() sullo scheduler incorporato e poi liberano l'oggetto contenitore con un semplice kfree(). drm_sched_fence_get_timeline_name() restituisce fence->sched->name, e il fence dello scheduler mantiene un callback .release per cui non viene scollegato dalle ops al momento della segnalazione. Un fence completato esportato verso lo spazio utente (l'out-fence di submit, oppure un fence VM_BIND, tramite sync_file / drm_syncobj) continua a puntare allo scheduler incorporato dopo che il ring/VM è stato liberato, quindi una successiva get_timeline_name() -- raggiungibile senza privilegi tramite SYNC_IOC_FILE_INFO -- dereferenzia memoria slab liberata (lettura slab-use-after-free rilevata da KASAN). Secondo il contratto di durata del dma-fence, l'esportatore deve mantenere vivi i dati che sostengono un fence segnalato per un periodo di grazia RCU. Liberare gli oggetti che contengono lo scheduler con kfree_rcu() invece di kfree(). Patchwork: https://patchwork.freedesktop.org/patch/750234/

Fonti

• CVE-2026-98180PoC

  Proof-of-concept e riproduttore KUnit confermato da KASAN per CVE-2026-98180, un use-after-free in drm/msm di oggetti ring e VM contenenti lo scheduler, raggiungibili tramite SYNC_IOC_FILE_INFO non privilegiato.