CVE-2026-98180

Resumo

No kernel Linux, a seguinte vulnerabilidade foi resolvida: drm/msm: liberar via RCU os objetos ring e VM que contêm o scheduler Tanto struct msm_ringbuffer quanto struct msm_gem_vm incorporam um struct drm_gpu_scheduler. msm_ringbuffer_destroy() e o callback de liberação da VM msm_gem_vm_free() chamam drm_sched_fini() no scheduler incorporado e então liberam o objeto que o contém com kfree() simples. drm_sched_fence_get_timeline_name() retorna fence->sched->name, e o fence do scheduler mantém um callback .release para que não seja desanexado de ops ao sinalizar. Um fence finalizado exportado para o espaço do usuário (o out-fence de submissão, ou um fence VM_BIND, via sync_file / drm_syncobj) continua apontando para o scheduler incorporado após o ring/VM ser liberado, de modo que um get_timeline_name() posterior -- alcançável sem privilégios através de SYNC_IOC_FILE_INFO -- desreferencia memória slab liberada (leitura slab-use-after-free no KASAN). De acordo com o contrato de tempo de vida do dma-fence, o exportador deve manter vivos os dados que sustentam um fence sinalizado por um período de graça do RCU. Libere os objetos que contêm o scheduler com kfree_rcu() em vez de kfree(). Patchwork: https://patchwork.freedesktop.org/patch/750234/

Fontes

• CVE-2026-98180PoC

  Prova de conceito e reprodutor KUnit confirmado por KASAN para CVE-2026-98180, um use-after-free em drm/msm de objetos ring e VM contendo o scheduler, alcançáveis via SYNC_IOC_FILE_INFO sem privilégios.