CVE-2026-98180

概要

Linuxカーネルにおいて、以下の脆弱性が修正されました: drm/msm: スケジューラを含むリングオブジェクトとVMオブジェクトをRCUで解放する。struct msm_ringbuffer と struct msm_gem_vm はどちらも struct drm_gpu_scheduler を埋め込んでいます。msm_ringbuffer_destroy() とVMの解放コールバック msm_gem_vm_free() は、埋め込まれたスケジューラに対して drm_sched_fini() を呼び出した後、その包含オブジェクトを通常の kfree() で解放します。drm_sched_fence_get_timeline_name() は fence->sched->name を返し、スケジューラフェンスは .release コールバックを保持しているため、シグナル通知時にopsデタッチされません。ユーザ空間にエクスポートされた完了済みフェンス（submitのout-fence、またはVM_BINDフェンス。sync_file / drm_syncobj 経由）は、リング/VMが解放された後も埋め込まれたスケジューラを指し続けるため、後で get_timeline_name() を呼び出すと——SYNC_IOC_FILE_INFO を通じて非特権ユーザから到達可能——解放済みのスラブメモリを参照します（KASAN slab-use-after-free read）。dma-fenceのライフタイム契約に従い、エクスポータはシグナル通知済みフェンスを裏付けるデータをRCUグレースピリオドの間、生存させ続けなければなりません。スケジューラを含むオブジェクトは kfree() の代わりに kfree_rcu() で解放してください。Patchwork: https://patchwork.freedesktop.org/patch/750234/

ソース

• CVE-2026-98180PoC

  CVE-2026-98180 の概念実証および KASAN で確認済みの KUnit 再現プログラムです。これは drm/msm における use-after-free であり、スケジューラを含むリングオブジェクトと VM オブジェクトが、非特権の SYNC_IOC_FILE_INFO 経由で到達可能になります。