CVE-2026-98180

요약

Linux 커널에서 다음과 같은 취약점이 해결되었습니다: drm/msm: 스케줄러를 포함하는 ring 및 VM 객체를 RCU로 해제합니다. struct msm_ringbuffer와 struct msm_gem_vm 모두 struct drm_gpu_scheduler를 내장하고 있습니다. msm_ringbuffer_destroy()와 VM 해제 콜백 msm_gem_vm_free()는 내장된 스케줄러에 대해 drm_sched_fini()를 호출한 다음, 포함하는 객체를 일반 kfree()로 해제합니다. drm_sched_fence_get_timeline_name()은 fence->sched->name을 반환하며, 스케줄러 fence는 .release 콜백을 유지하므로 시그널링 시 ops-detach되지 않습니다. 사용자 공간으로 내보내진 완료된 fence(제출 out-fence 또는 VM_BIND fence, sync_file / drm_syncobj를 통해)는 ring/VM이 해제된 후에도 내장된 스케줄러를 계속 가리키므로, 이후의 get_timeline_name() 호출 -- SYNC_IOC_FILE_INFO를 통해 비특권 사용자도 도달 가능 -- 이 해제된 slab 메모리를 역참조합니다(KASAN slab-use-after-free 읽기). dma-fence 수명 계약에 따르면, exporter는 시그널링된 fence를 뒷받침하는 데이터를 RCU 유예 기간 동안 살아 있게 유지해야 합니다. 스케줄러를 포함하는 객체를 kfree() 대신 kfree_rcu()로 해제하십시오. Patchwork: https://patchwork.freedesktop.org/patch/750234/

소스

• CVE-2026-98180PoC

  CVE-2026-98180에 대한 개념 증명(PoC) 및 KASAN으로 확인된 KUnit 재현기입니다. 이 취약점은 권한 없는 SYNC_IOC_FILE_INFO를 통해 도달 가능한, 스케줄러를 포함하는 ring 및 VM 객체의 drm/msm use-after-free입니다.