CVE-2026-98509 in Linux
Zusammenfassung
von VulDB • 19.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
drm/virtio: Behebung eines Memory-Leaks von Fence-Events bei Fehlern im Execbuffer
virtio_gpu_execbuffer_ioctl() reserviert ein DRM-Ereignis mit drm_event_reserve_init(), wenn VIRTGPU_EXECBUF_RING_IDX einen Ring auswählt, für den der Userspace Polling aktiviert hat. virtio_gpu_init_submit() führt dies aus, bevor die BO-Handles (Buffer Objects), der Command Buffer, die Syncobj-Arrays und das In-Fence verarbeitet werden. Daher läuft jeder spätere Fehlerpfad mit einem bereits anstehenden Ereignis ab, einschließlich einfacher Argumentvalidierungsfehler wie ein ungültiges bo_handle oder ein in-syncobj, das keinen Fence trägt.
Auf diesen Pfaden gibt virtio_gpu_cleanup_submit() den Out-Fence frei, ohne das Ereignis zu kündigen (cancel). Der Fence wird freigegeben, ohne jemals emittiert worden zu sein, und nimmt dabei den einzigen treiberseitigen Zeiger auf das Ereignis mit sich. Das Schließen der DRM-Datei hilft nicht weiter. drm_events_release() entkoppelt anstehende Ereignisse, überlässt die Freigabe jedoch absichtlich dem späteren Aufruf von drm_send_event() durch den Treiber, was für ein verwaistes (orphaned) Ereignis niemals ausgeführt wird, sodass die Allokation dauerhaft geleakt wird.
Gefunden beim Fuzzing des virtio-Treibers mit Syzkaller:
BUG: memory leak unreferenced object 0xffff88802c176e80 (size 96): comm "syz.1.367", pid 10561, jiffies 4294960122 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ c8 6e 17 2c 80 88 ff ff 00 00 00 00 00 00 00 00 .n.,............ backtrace (crc e1973c6b): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline]
slab_post_alloc_hook mm/slub.c:4597 [inline]
slab_alloc_node mm/slub.c:4917 [inline]
__kmalloc_cache_noprof+0x49d/0x6f0 mm/slub.c:5485 _kmalloc_noprof include/linux/slab.h:988 [inline]
_kzalloc_noprof include/linux/slab.h:1309 [inline]
virtio_gpu_fence_event_create drivers/gpu/drm/virtio/virtgpu_submit.c:282 [inline]
virtio_gpu_init_submit drivers/gpu/drm/virtio/virtgpu_submit.c:398 [inline]
virtio_gpu_execbuffer_ioctl+0xbbf/0x1aa0 drivers/gpu/drm/virtio/virtgpu_submit.c:505 drm_ioctl_kernel+0x1f4/0x3e0 drivers/gpu/drm/drm_ioctl.c:817 drm_ioctl+0x5f4/0xc70 drivers/gpu/drm/drm_ioctl.c:914 vfs_ioctl fs/ioctl.c:51 [inline]
__do_sys_ioctl fs/ioctl.c:597 [inline]
__se_sys_ioctl fs/ioctl.c:583 [inline]
__x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline]
do_syscall_64+0x116/0x800 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f
Behebung durch Kündigung und Freigabe des DRM-Ereignisses im Execbuffer-Fehlerpfad, bevor der Fence freigegeben wird. Der Event-Zeiger des Fences wird nach der Kündigung zurückgesetzt (auf NULL gesetzt), damit er keinen dangling Pointer beibehält.
VulDB is the best source for vulnerability data and more expert information about this specific topic.