Odebrany

CVE-2026-98999

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

drm/xe: Napraw nieaktualny wpis pinned_link, gdy fb-pin wykonuje ostateczne odpięcie

xe_bo_pin_external() i xe_bo_unpin_external() obsługują bo
członkostwo w liście pinned_link w xe->pinned.late.external, na podstawie
czy bieżące połączenie jest najbardziej zewnętrznym pinem, czy ostatnim odpięciem.
Można jednak również zwiększyć liczbę pin_count tego samego zewnętrznego bo
obniżane bezpośrednio przez __xe_pin_fb_vma()/__xe_unpin_fb_vma(), które przypinają
bo jako bufor skanowania wyświetlacza bez przechodzenia
xe_bo_pin_external()/xe_bo_unpin_external() i nie mają
pojęcie lub własność pinned_link.

Jeśli bo jest przypięty zarówno zewnętrznie (np. eksport dma-buf), jak i jako fb,
a zewnętrzne odpięcie następuje najpierw, poprawnie xe_bo_unpin_external().
obserwuje pin_count > 1 i pozostawia bo na pinned_link. Kiedy na fb
unpin później wykonuje prawdziwe ostatnie odpięcie (liczba pinów 1 -> 0), nigdy
dotyka pinned_link, pozostawiając bo połączone na xe->pinned.late.external
na czas nieokreślony. Po zwolnieniu bo, ten nieaktualny wpis na liście
wskazuje na zwolnioną pamięć, uszkadzając listę i ryzykując:
użyj po zwolnieniu przy następnym przeglądaniu lub łączeniu listy.

Strony przypinania/odpinania obiektów kopii zapasowej w xe_bo_notifier_prepare_pinned()/
xe_bo_notifier_unprepare_pinned() mają tę samą charakterystykę obejścia,
chociaż nigdy nie dodają swojego bo do przypiętej listy, więc nie ma to na to wpływu
przez ten konkretny problem z uszkodzeniem list.

Przenieś usuwanie pinned_link do xe_bo_account_unpin(), które już
działa na każdej ścieżce odpinania (jądro, zewnętrzne, bufor ramki, kopia zapasowa
obiekt) tuż przed prawdziwym przejściem 1 -> 0 pin_count. Od
list_del_init() działa tylko na samym węźle, to usunięcie polega na tym
niezależny od list i bezpieczny do wykonania niezależnie od tego, która lista (external
lub kernel_bo_present) bo jest połączone, lub jaki kod
path wykonuje ostateczne odpięcie. Porzuć zbędne teraz wyraźne
list_del_init() wywołuje funkcje xe_bo_unpin_external() i xe_bo_unpin().

wersja 2:
- Nowa łatka

v3:
- Bazuje na zmianach z poprzedniej łatki.

(wiśnia wybrana z zatwierdzenia ca58d36a1f93af586ee93b340c9f9fd81312cc01)

In the Linux kernel, the following vulnerability has been resolved:

drm/xe: Fix stale pinned_link entry when fb-pin performs the final unpin

xe_bo_pin_external() and xe_bo_unpin_external() maintain the bo's
pinned_link list membership in xe->pinned.late.external, based on
whether the current call is the outermost pin or the final unpin.
However, the same external bo's pin_count can also be raised and
lowered directly by __xe_pin_fb_vma()/__xe_unpin_fb_vma(), which pin
the bo as a display scanout buffer without going through
xe_bo_pin_external()/xe_bo_unpin_external() at all, and have no
notion of, or ownership over, pinned_link.

If a bo is pinned both externally (e.g. dma-buf export) and as an fb,
and the external unpin happens first, xe_bo_unpin_external() correctly
observes pin_count > 1 and leaves the bo on pinned_link. When the fb
unpin later performs the true last unpin (pin_count 1 -> 0), it never
touches pinned_link, leaving the bo linked on xe->pinned.late.external
indefinitely. Once the bo is subsequently freed, this stale list entry
points into freed memory, corrupting the list and risking a
use-after-free the next time the list is walked or spliced.

The backup object pin/unpin sites in xe_bo_notifier_prepare_pinned()/
xe_bo_notifier_unprepare_pinned() have the same bypass characteristic,
though they never add their bo to a pinned list, so are not affected
by this particular list-corruption issue.

Move the pinned_link removal into xe_bo_account_unpin(), which already
runs on every unpin path (kernel, external, framebuffer, backup
object) right before the true 1 -> 0 pin_count transition. Since
list_del_init() only operates on the node itself, this removal is
list-agnostic and safe to perform regardless of which list (external
or kernel_bo_present) the bo happens to be linked on, or which code
path is performing the final unpin. Drop the now-redundant explicit
list_del_init() calls in xe_bo_unpin_external() and xe_bo_unpin().

v2:
- New patch

v3:
- Rebased on changes to previous patch.

(cherry picked from commit ca58d36a1f93af586ee93b340c9f9fd81312cc01)

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve