CVE-2026-98999
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W jądrze Linux w module drm/xe wykryto błąd polegający na pozostawieniu nieaktualnego wpisu pinned_link, gdy odpięcie bufora ramki (fb-pin) wykonuje ostatnie odpięcie. Prowadzi to do wpisu listy wskazującego na zwolnioną pamięć i potencjalnego use-after-free przy kolejnym przejściu lub modyfikacji listy.
Ocena ryzyka
Może powodować uszkodzenie listy i użycie zwolnionej pamięci w jądrze, co grozi niestabilnością systemu lub eskalacją uprawnień.
Rekomendacja
Zaktualizuj jądro Linux do wersji zawierającej poprawkę (commit ca58d36a1f93af586ee93b340c9f9fd81312cc01) i wdróż ją na systemach z aktywnym sterownikiem drm/xe.
Inne podatności w Linux kernel drm/xe
Zobacz wszystkie- CVE-2026-98919Nieznane
W jądrze Linux w komponencie drm/xe naprawiono podatność w funkcji adjust_idledly(), która nie obsługiwała przypadków brzegowych. Gdy xe_gt_clock_init() nie rozpozna zegara kryształu, timestamp_base wynosi 0, co prowadzi do dzielenia przez zero i paniki jądra. Dodatkowo konwersje tick-to-ns w u32 mogą powodować przepełnienie, a nieprawidłowe zaokrąglenie może programować wartość opóźnienia większą lub równą maxcnt, wywołując ostrzeżenia przy każdej inicjalizacji.
- CVE-2025-68802Nieznane
W jądrze Linux w komponencie drm/xe wykryto podatność polegającą na braku ograniczenia wartości num_syncs w ioctl exec i vm_bind. Użytkownik przestrzeni użytkownika może podać dowolnie dużą wartość, co wymusza nadmierną alokację pamięci i generuje ostrzeżenia alokatora stron jądra. Wprowadzono limit DRM_XE_MAX_SYNCS równy 1024 i odrzucanie żądań przekraczających ten limit.
- CVE-2026-98310Niskie ryzyko· EPSS 5%
W jądrze Linux w komponencie drm/xe/shrinker wykryto błąd, w którym funkcja __xe_shrinker_walk() przegląda listy LRU SYSTEM i TT bez referencji runtime PM. Zmniejszanie bufora poza pamięcią systemową unieważnia jego mapowania GPU, co wymaga wybudzenia urządzenia — w stanie uśpienia runtime powoduje to ostrzeżenie asercji i zwrócenie -ENODEV przez unieważnienie TLB.
- CVE-2026-97620Niskie ryzyko· EPSS 9%
W jądrze Linux w sterowniku drm/xe funkcja emit_render_cache_flush() nie żądała opróżnienia nieotypowanej pamięci podręcznej L1 dataport (LSC untyped L1) przed zwolnieniem pamięci do ponownego użycia. Od platformy MTL (Meteor Lake) powiązanie między HDC Pipeline Flush a opróżnieniem tej pamięci podręcznej nie jest już niezawodne, co może prowadzić do wycieku nieaktualnych danych. Poprawka jawnie ustawia bit PIPE_CONTROL0_UNTYPED_DATAPORT_CACHE_FLUSH na platformach Xe2 i nowszych.
- CVE-2026-90047Wysokie
W jądrze Linux w komponencie drm/xe wykryto błąd w funkcji get_flat_ccs_offset(), która zaokrąglała w górę offset końca pamięci VRAM, przez co fragment pamięci należący do sprzętowej kompresji (flat CCS) był udostępniany alokatorowi VRAM jako wolna pamięć. Sprzęt kompresji nadpisywał następnie dane w tym obszarze bez wiedzy sterownika, co prowadziło m.in. do uszkodzenia tablic stron i zawieszenia kompozytora (czarny ekran). Problem dotyczy głównie układów Intel Battlemage G21.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: drm/xe: Fix stale pinned_link entry when fb-pin performs the final unpin xe_bo_pin_external() and xe_bo_unpin_external() maintain the bo's pinned_link list membership in xe->pinned.late.external, based on whether the current call is the outermost pin or the final unpin. However, the same external bo's pin_count can also be raised and lowered directly by __xe_pin_fb_vma()/__xe_unpin_fb_vma(), which pin the bo as a display scanout buffer without going through xe_bo_pin_external()/xe_bo_unpin_external() at all, and have no notion of, or ownership over, pinned_link. If a bo is pinned both externally (e.g. dma-buf export) and as an fb, and the external unpin happens first, xe_bo_unpin_external() correctly observes pin_count > 1 and leaves the bo on pinned_link. When the fb unpin later performs the true last unpin (pin_count 1 -> 0), it never touches pinned_link, leaving the bo linked on xe->pinned.late.external indefinitely. Once the bo is subsequently freed, this stale list entry points into freed memory, corrupting the list and risking a use-after-free the next time the list is walked or spliced. The backup object pin/unpin sites in xe_bo_notifier_prepare_pinned()/ xe_bo_notifier_unprepare_pinned() have the same bypass characteristic, though they never add their bo to a pinned list, so are not affected by this particular list-corruption issue. Move the pinned_link removal into xe_bo_account_unpin(), which already runs on every unpin path (kernel, external, framebuffer, backup object) right before the true 1 -> 0 pin_count transition. Since list_del_init() only operates on the node itself, this removal is list-agnostic and safe to perform regardless of which list (external or kernel_bo_present) the bo happens to be linked on, or which code path is performing the final unpin. Drop the now-redundant explicit list_del_init() calls in xe_bo_unpin_external() and xe_bo_unpin(). v2: - New patch v3: - Rebased on changes to previous patch. (cherry picked from commit ca58d36a1f93af586ee93b340c9f9fd81312cc01)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS