CVE-2026-98180

Резюме

В ядре Linux устранена следующая уязвимость: drm/msm: освобождение через RCU объектов ring и VM, содержащих планировщик. Как struct msm_ringbuffer, так и struct msm_gem_vm содержат в себе struct drm_gpu_scheduler. msm_ringbuffer_destroy() и callback освобождения VM msm_gem_vm_free() вызывают drm_sched_fini() для встроенного планировщика, а затем освобождают содержащий объект с помощью обычного kfree(). drm_sched_fence_get_timeline_name() возвращает fence->sched->name, а fence планировщика сохраняет callback .release, поэтому при сигнализировании он не отсоединяется от ops. Завершённый fence, экспортированный в пространство пользователя (out-fence отправки или fence VM_BIND через sync_file / drm_syncobj), продолжает указывать на встроенный планировщик после освобождения ring/VM, поэтому последующий вызов get_timeline_name() — доступный непривилегированному пользователю через SYNC_IOC_FILE_INFO — разыменовывает освобождённую память slab (чтение после освобождения в slab, обнаруживаемое KASAN). Согласно контракту времени жизни dma-fence, экспортёр обязан сохранять данные, лежащие в основе сигнализированного fence, в течение льготного периода RCU. Освобождайте объекты, содержащие планировщик, с помощью kfree_rcu() вместо kfree(). Patchwork: https://patchwork.freedesktop.org/patch/750234/

Источники

• CVE-2026-98180PoC

  Концептуальное доказательство и подтверждённый KASAN репродуктор KUnit для CVE-2026-98180 — use-after-free в drm/msm для объектов ring и VM, содержащих планировщик, доступных через непривилегированный SYNC_IOC_FILE_INFO.