CVE-2026-99001

W jądrze Linuksa usunięto następującą lukę:

drm/xe/i2c: anuluj pracę klienta nad usunięciem

xe_i2c_notifier() przechowuje adapter DesignWare w i2c->adapter i
planuje i2c->pracę, gdy adapter jest zarejestrowany pod xe I2C
urządzenie platformy, a funkcja xe_i2c_client_work() tworzy następnie instancję AMC
urządzenie klienckie na tym adapterze.

xe_i2c_remove() niszczy AMC, wyrejestrowuje urządzenia klienckie,
powiadamiający magistralę i urządzenie platformy adaptera, ale nigdy się nie wyczerpuje
i2c->praca. Element pracy, który nadal znajduje się w kolejce lub jest uruchomiony, gdy
adapter jest niezarejestrowany. dereferencje i2c->adapter in
i2c_new_client_device() po tym, jak platforma_device_unregister() ma
wypuścił adapter. Element pracy jest również osadzony w pliku
struct xe_i2c przydzielona przez devm, więc element pracy nadal znajduje się w kolejce po
drm urządzenie devm unwind zwalnia tę alokację, na której uruchamiane jest wywołanie zwrotne
zwolniona pamięć.

Powiadamiacz autobusowy jest jedyną rzeczą, która planuje tę pracę i tak właśnie jest
niezarejestrowany po urządzeniach klienckich. Instancja, która nadal znajduje się w kolejce
kiedy przebiega rozbiórka, można zatem pisać
i2c->client[XE_I2C_CLIENT_AMC], gdy pętla się wyrejestrowuje i
czyszczenie tej samej tablicy, a klient AMC, którego instancja jest tworzona późno, jest tylko
oczyszczone przez przeszukanie własnego dziecka adaptera w i2c_del_adapter().

Przenieś bus_unregister_notifier() przed pętlę rozłączania klienta
i anuluj pracę zaraz po niej, aby nie było możliwości utworzenia nowej instancji
zaplanowane, a instancja w kolejce jest opróżniana przed tablicą klienta
dotknięty. Działająca instancja nadal znajduje aktywny adapter, ponieważ plik
adapter zostanie później wyrejestrowany.

(wiśnia wybrana z zatwierdzenia a23f27d5ec11c3f418c5e5531eea34ccda2b5b20)