CVE-2026-68263
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W jądrze Linux w sterowniku graficznym drm/imagination (powervr) występuje podwójne wywołanie funkcji drm_sched_entity_fini(), co prowadzi do naruszenia licznika referencji i potencjalnego użycia po zwolnieniu (use-after-free). Problem pojawia się podczas niszczenia kontekstu, gdy funkcja drm_sched_entity_fini() jest wywoływana zarówno w ścieżce pvr_queue_kill, jak i pvr_queue_destroy.
Ocena ryzyka
Podatność może prowadzić do awarii systemu (panic) lub w skrajnych przypadkach do eskalacji uprawnień w środowisku z dostępem do interfejsu graficznego. Organizacje korzystające z urządzeń z tym sterownikiem (np. układy PowerVR) są narażone na niestabilność systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie jądra Linux do wersji zawierającej poprawkę, która usuwa podwójne wywołanie drm_sched_entity_fini(). Należy również monitorować biuletyny bezpieczeństwa dystrybucji i zastosować odpowiedni backport poprawki.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-99282Nieznane
W jądrze Linux w module net/sched: sch_teql występuje podatność use-after-free. Funkcja teql_master_xmit() błędnie interpretuje kod zwrotny NET_XMIT_DROP jako niezużyty pakiet i wykonuje na nim operacje po zwolnieniu pamięci. Problem dotyczy konfiguracji z interfejsem VLAN i qdisc pfifo z limitem 0.
- CVE-2026-99281Nieznane
W jądrze Linux naprawiono lukę w mechanizmie tun/tap, która pozwalała procesom bez uprawnień CAP_NET_ADMIN dołączać się do trwałych urządzeń tun, które nie miały ustawionego właściciela ani grupy. Wystarczał dostęp do węzła /dev/net/tun, aby przechwycić lub wstrzykiwać ruch sieciowy. Poprawka wymaga teraz CAP_NET_ADMIN do dołączenia do urządzenia bez właściciela i grupy.
- CVE-2026-99280Nieznane
W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że niepowodzenie rejestracji sesji i czyszczenie połączenia mogą zwolnić referencję tabeli, gdy wpis procfs sesji jest nadal dostępny. Może to prowadzić do użycia po zwolnieniu (use-after-free) i problemów z współbieżnością.
- CVE-2026-99278Nieznane
W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że limit oczekujących sesji uwzględnia tylko sesje InProgress. Klient może wielokrotnie kończyć uwierzytelnianie i utrzymywać nieograniczoną liczbę sesji Valid na jednym połączeniu.
- CVE-2026-99259Nieznane
W jądrze Linux w sterowniku soc/tegra: pmc występuje problem z niezainicjalizowaną zmienną early_pmc->rate dla starszych 32-bitowych urządzeń Tegra. Zmienna nigdy nie jest ustawiana i pozostaje równa 0, co powoduje wyzwalanie ostrzeżenia w funkcji tegra_pmc_enter_suspend_mode(). Błąd pojawił się po zmianie sterownika PMC na dynamiczne tworzenie kontekstu, gdzie zaktualizowano rate tylko w nowym kontekście.
- CVE-2026-99258Nieznane
W jądrze Linux funkcja hv_apicid_to_vp_index() używa per-CPU stron wejściowych i wyjściowych hiperwywołań. W maszynie wirtualnej SEV-SNP CoCo bez paravisora strona wyjściowa nie jest alokowana, więc hipervisor zapisuje wynikowy indeks VP do niezaalokowanej pamięci gościa. Poprawka polega na użyciu tej samej strony wejściowej również jako wyjściowej.
- CVE-2026-99257Nieznane
W jądrze Linux mechanizm współdzielonych GPIO oparty na tablicach wyszukiwania platformy wymaga powiązanego struct device. Wywołanie wyszukiwania oparte na fwnode bez powiązanego urządzenia powoduje dereferencję wskaźnika NULL. Poprawka dodaje sprawdzenie, które pozwala jąderu łagodnie obsłużyć tę sytuację błędem.
- CVE-2026-99256Nieznane
W jądrze Linux moduł dm cache używał rw_semaphore do blokady background_work_lock, mimo że blokady zapisu rw_semaphore mają ścisłą semantykę właściciela. Proces blokujący nie zawsze był tym samym, który zwalniał blokadę, co przy CONFIG_DEBUG_RWSEMS wyzwalało ostrzeżenie podczas suspend/resume urządzenia cache. Poprawka zastępuje rw_semaphore spinlockiem i kolejką oczekujących.
- CVE-2026-99251Nieznane
W jądrze Linux funkcja init_vp_index() zawiera pętlę ponawiania, która usuwa CPU z danego węzła NUMA, jeśli są już w alokowanej masce cpumask lub poza maską housekeeping HK_TYPE_MANAGED_IRQ. Jeśli maska housekeeping nie zawiera żadnego CPU w danym węźle, pętla staje się nieskończona. Poprawka pomija węzły NUMA bez CPU housekeeping i wcześniej przerywa działanie, gdy brak jest online CPU housekeeping.
- CVE-2026-99250Nieznane
W jądrze Linux wątki jądra (kthreads) NBCON odpowiedzialne za drukowanie konsoli są uruchamiane bardzo wcześnie przez early_initcall(). Asynchroniczne włączanie i wyłączanie przerwań podczas wczesnego rozruchu może zakłócać konfigurację SMP na niektórych platformach sprzętowych, powodując zawieszanie się systemu. Poprawka opóźnia uruchomienie tych wątków do momentu zakończenia wszystkich arch initcalli.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: drm/imagination: Fix double call to drm_sched_entity_fini() Call sequence of double call: pvr_context_destroy pvr_context_kill_queues pvr_queue_kill drm_sched_entity_destroy drm_sched_entity_fini // here pvr_context_put kref_put(..., pvr_context_release) pvr_context_destroy_queues pvr_queue_destroy drm_sched_entity_fini // here Call to drm_sched_entity_destroy() from pvr_context_kill_queues() calls drm_sched_entity_flush() + drm_sched_entity_fini(). drm_sched_entity_flush() ensures all pending jobs are completed and drm_sched_entity_fini() ensures no further submission is allowed as per expectation from pvr_context_kill_queues(). Double call to drm_sched_entity_fini() is misuse of the API so keep call only in pvr_context_create() failure path. Stack trace for issue with addition of refcounting for DRM entity stats in commit fd177135f0e6 ("drm/sched: Account entity GPU time"): [ 789.490527] ------------[ cut here ]------------ [ 789.490559] refcount_t: underflow; use-after-free. [ 789.490657] WARNING: lib/refcount.c:28 at refcount_warn_saturate+0xf4/0x144, CPU#0: kworker/u16:1/440 [ 789.490695] Modules linked in: powervr drm_gpuvm drm_exec gpu_sched drm_shmem_helper xhci_plat_hcd xhci_hcd dwc3 usbcore usb_common snd_soc_simple_card snd_soc_simple_card_utils sa2ul sha512 sha256 dwc3_am62 sha1 authenc rti_wdt libsha512 at24 sch_fq_codel fuse dm_mod ipv6 [ 789.490798] CPU: 0 UID: 0 PID: 440 Comm: kworker/u16:1 Not tainted 7.0.0-rc7-02049-g5e2c0700091b #22 PREEMPT [ 789.490809] Hardware name: Texas Instruments AM625 SK (DT) [ 789.490815] Workqueue: powervr-sched pvr_queue_fence_release_work [powervr] [ 789.490868] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 789.490876] pc : refcount_warn_saturate+0xf4/0x144 [ 789.490884] lr : refcount_warn_saturate+0xf4/0x144 [ 789.490892] sp : ffff8000822cbcc0 [ 789.490895] x29: ffff8000822cbcc0 x28: 0000000000000000 x27: 0000000000000000 [ 789.490909] x26: 0000000000000000 x25: ffff800081b1e338 x24: ffff000004541405 [ 789.490922] x23: ffff000004bea950 x22: ffff00000042e400 x21: ffff000007123e30 [ 789.490935] x20: ffff000007123000 x19: ffff000007a80d50 x18: fffffffffffe7768 [ 789.490948] x17: 74736574202c6e6f x16: 697461746e656d65 x15: ffff800081b269f0 [ 789.490962] x14: 0000000000000030 x13: ffff800081b26a70 x12: 0000000000000211 [ 789.490975] x11: 00000000000000c0 x10: 0000000000000b50 x9 : ffff8000822cbb30 [ 789.490988] x8 : ffff0000014e7bb0 x7 : ffff00007725e780 x6 : 0000000372a05f49 [ 789.491001] x5 : 0000000000000000 x4 : 0000000000000001 x3 : 0000000000000010 [ 789.491013] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000014e7000 [ 789.491027] Call trace: [ 789.491032] refcount_warn_saturate+0xf4/0x144 (P) [ 789.491043] drm_sched_entity_fini+0x164/0x18c [gpu_sched] [ 789.491081] pvr_queue_destroy+0x64/0x134 [powervr] [ 789.491110] pvr_context_destroy_queues+0x34/0x64 [powervr] [ 789.491138] pvr_context_release+0x70/0xac [powervr] [ 789.491166] pvr_context_put.part.0+0x5c/0x7c [powervr] [ 789.491193] pvr_context_put+0x14/0x24 [powervr] [ 789.491221] pvr_queue_fence_release_work+0x20/0x38 [powervr] [ 789.491249] process_one_work+0x160/0x4c4 [ 789.491264] worker_thread+0x188/0x310 [ 789.491276] kthread+0x130/0x13c [ 789.491287] ret_from_fork+0x10/0x20 [ 789.491300] ---[ end trace 0000000000000000 ]---
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS