CVE-2026-46280
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W jądrze Linux w teście HMM (lib: test_hmm) wykryto podatność na użycie po zwolnieniu (use-after-free). Podczas zamykania pliku przez dmirror_fops_release() zwalniana jest struktura dmirror bez uprzedniej migracji prywatnych stron urządzenia z powrotem do pamięci systemowej, co pozostawia wiszący wskaźnik. Kolejny błąd strony (np. podczas zrzutu pamięci) może prowadzić do dereferencji tego wskaźnika i paniki jądra.
Ocena ryzyka
Ryzyko polega na możliwości wywołania paniki jądra (kernel panic) podczas operacji takich jak zrzut pamięci (coredump) po nieudanym teście, co może zakłócić działanie systemu i utrudnić diagnostykę. Podatność dotyczy wyłącznie środowisk testowych z włączonymi testami HMM.
Rekomendacja
Zaleca się natychmiastową aktualizację jądra Linux do wersji zawierającej poprawkę (commit z serii łatek 'Minor hmm_test fixes and cleanups'). W środowiskach produkcyjnych bez uruchomionych testów HMM ryzyko jest minimalne, ale aktualizacja jest wskazana dla zachowania spójności kodu.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: lib: test_hmm: evict device pages on file close to avoid use-after-free Patch series "Minor hmm_test fixes and cleanups". Two bugfixes a cleanup for the HMM kernel selftests. These were mostly reported by Zenghui Yu with special thanks to Lorenzo for analysing and pointing out the problems. This patch (of 3): When dmirror_fops_release() is called it frees the dmirror struct but doesn't migrate device private pages back to system memory first. This leaves those pages with a dangling zone_device_data pointer to the freed dmirror. If a subsequent fault occurs on those pages (eg. during coredump) the dmirror_devmem_fault() callback dereferences the stale pointer causing a kernel panic. This was reported [1] when running mm/ksft_hmm.sh on arm64, where a test failure triggered SIGABRT and the resulting coredump walked the VMAs faulting in the stale device private pages. Fix this by calling dmirror_device_evict_chunk() for each devmem chunk in dmirror_fops_release() to migrate all device private pages back to system memory before freeing the dmirror struct. The function is moved earlier in the file to avoid a forward declaration.