CVE-2026-63880

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: drm/amdgpu: AMDGPU_GEM_OP_GET_MAPPING_INFO içerisindeki ENOMEM durumundaki kilit sızıntısı düzeltildi amdgpu_gem_op_ioctl() fonksiyonunun AMDGPU_GEM_OP_GET_MAPPING_INFO dalı, kvcalloc() çağrılmadan önce temizliği takip edilen üç kaynağı tutmaktadır: drm_gem_object_lookup() üzerinden gelen drm_gem_object referansı, drm_exec_lock_obj() aracılığıyla bakılan GEM üzerindeki drm_exec kilidi ve amdgpu_vm_lock_pd() aracılığıyla işlem başına VM kök sayfa dizini üzerindeki drm_exec kilidi. Bu fonksiyonun diğer tüm hata yollarının yönlendiği out_exec etiketi tarafından her üçü de serbest bırakılır. kvcalloc() hata yolu ise doğrudan -ENOMEM döndürerek out_exec kısmını atlar ve bu üç kaynağın da sızmasına neden olur. Sızan işlem başına VM kök PD dma_resv kilidi kritik olan sızıntıdır: aynı VM üzerindeki herhangi bir sonraki işlem (diğer GEM işlemleri, komut gönderimi, tahliye, TTM shrinker geri çağırmaları), tutulan kilit nedeniyle engellenir. DRM_IOCTL_AMDGPU_GEM_OP, DRM_AUTH | DRM_RENDER_ALLOW yetkilerine sahip olduğundan, bu durum /dev/dri/renderD* erişimine sahip herhangi bir işlem tarafından tetiklenebilen, çağıranın GPU bağlamına yönelik ayrıcalıksız yerel bir hizmet reddi (DoS) durumudur. drm_exec_fini() ve drm_gem_object_put() fonksiyonlarının çalışması için hata yolunun out_exec üzerinden yönlendirilmesi sağlanmıştır. Standart 7.0.0-10, Ryzen 7 5700U / Radeon Vega (Lucienne) üzerinde yeniden üretilmiştir: hatalı ioctl -ENOMEM döndürmekte ve ardından aynı fd üzerinde yapılan ikinci bir GET_MAPPING_INFO işlemi, sızan dma_resv üzerinde drm_exec_lock_obj() aşamasında engellenmektedir. Çağırana gönderilen SIGKILL görevi sonlandırmaz; işlem çıkışı sırasındaki fd-release yolu, aynı kilit üzerinde amdgpu_gem_object_close() -> drm_exec_prepare_obj() adımlarından geçer ve sistem yeniden başlatılana kadar görev D durumunda kalır. Yamalanmış çekirdek bu donanım üzerinde yeniden derlenip test edilmemiştir; düzeltme mekaniktir. Yalnızca tek bir Lucienne / Vega cihazında test edilmiştir. Ziyi Guo, aynı dalda args->num_entries için bağımsız bir INT_MAX sınır kontrolü paylaşmıştır [1]; iki yama birbirini tamamlayıcıdır ve herhangi bir sırayla uygulanabilirler. (commit b69d3256d79de15f54c322986ff4da68f1d65b0a adresinden cherry pick yapılmıştır)