CVE-2026-98166

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: drm/ttm: dəyişdirilmiş (swapped-out) resursların öz bulk_move diapazonundan heç vaxt çıxmamasının düzəldilməsi ttm_tt_swapout() uğurlu olduqda dəyişdirilən səhifələrin sayını, xəta baş verdikdə isə mənfi xəta kodunu qaytarır; doldurulmuş ttm üçün o, heç vaxt sıfır qaytarmır. b2ed01e7ad3d ("drm/ttm: Fix ttm_bo_swapout() infinite LRU walk on swapout failure") commit-i ttm_bo_swapout_cb() funksiyasındakı bulk_move uçotunu "if (!ret)" şərtinin altına köçürmüşdür, buna görə də hər uğurlu swapout zamanı ttm_resource_del_bulk_move_unevictable() / ttm_resource_move_to_lru_tail() cütü indi ötürülür. 1d59f36e95f7 ("drm/ttm: Fix ttm_bo_shrink() infinite LRU walk on backup failure") commit-ində shrinker üçün ekvivalent dəyişiklik "lret > 0" şərtini yoxlayır ki, burada da məqsəd elə bu idi. b2ed01e7ad3d commit-indən əvvəl resurs swapout-dan öncə bulk_move-dan çıxarılırdı; bundan sonra isə dəyişdirilmiş resurs, evictable olmasa belə, öz BO-sunun bulk_move diapazonunda (və menecer LRU-da) qalır. Daha sonra o azad edildikdə və ya BO bulk_move-dan çıxdıqda (ttm_resource_free(), amdgpu_vm_bo_del() vasitəsilə ttm_bo_set_bulk_move()), ttm_resource_del_bulk_move() funksiyası !ttm_resource_unevictable() mühafizəsi səbəbindən onu ötürür, nəticədə pos->first / pos->last-dakı diapazon son nöqtəsi azad edilmiş yaddaşa işarə etməyə davam edir. Həmin kursor üzərindəki növbəti ttm_lru_bulk_move_tail() və ya ttm_resource_add_bulk_move() çağırışı use-after-free xətasına səbəb olur; bu, hibernasiyadan dəqiqələr və ya saatlar sonra, yaxud hibernasiyanı izləyən prosesin çıxışı / yenidən yükləmə zamanı ttm_lru_bulk_move_add()-da resv WARN, ttm_resource_move_to_lru_tail()-da "list_del corruption" və ya ttm_resource_manager_next()-da NULL dereference kimi müşahidə olunur. Samuel Ainsworth-ün drm/amd 5387 nömrəli probleminin təhlili (Link-ə baxın) asılı qalan kursoru müəyyən etmişdir; swapout zamanı silinmənin baş verməməsi onun asılı qalmasının səbəbidir. Uğur şərtinin yoxlanılması silinməni bərpa edir. Backport-u daşıyan 7.0.y stabil nüvəsində (Ubuntu 7.0.0-31) suspend-then-hibernate rejimində çalışan AMD Phoenix APU-da (ASUS UM3406GA, gfx1103) bu xəta 18 hibernasiya dövründən 5-ində sistemin çökməsinə səbəb olmuşdur; bir hibernasiyanın funksiya profili 336 ttm_tt_swapout() çağırışını və sıfır ttm_resource_del_bulk_move_unevictable() çağırışını göstərmişdir. Bu dəyişikliklə silinmə hər bir dəyişdirilmiş resurs üçün baş verir və növbəti 12 dövr problemsiz tamamlanmışdır.