CVE-2026-80818

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: iommu/tegra241-cmdqv: Kapatma sırasında CMD_SYNC serbest bırakıldıktan sonra kullanım (use-after-free) hatası düzeltildi arm_smmu_impl_remove(), arm_smmu_init_queues() smmu->cmdq.q.base alanını tahsis etmeden önce arm_smmu_impl_probe() içerisinde bir devres eylemi olarak kaydedilir. Hatalı bir probe veya ayırma işlemi (unbind) durumunda gerçekleşen devres geri sarma işleminde, kuyruk önce serbest bırakılır ve ardından arm_smmu_impl_remove(), serbest bırakılan bellek üzerinde CMD_SYNC komutu gönderen VINTF deinit işlemini gerçekleştiren tegra241_cmdqv_remove_vintf() fonksiyonunu çalıştırır. VCMDQ etkinleştirmesini başarısız kılan bir QEMU hilesi ile yapılan testler sırasında gözlemlenmiştir; bu durumda impl sıfırlaması başarısız olur ve probe işlemi devres geri sarma ile sonlanır: platform NVDA200C:00: tegra241_cmdqv: VINTF0: VCMDQ0/LVCMDQ0: failed to enable, STATUS=0x00000000 platform NVDA200C:00: tegra241_cmdqv: VINTF0: VCMDQ0/LVCMDQ0: GERRORN=0x0, GERROR=0x4, CONS=0x0 platform NVDA200C:00: tegra241_cmdqv: VINTF0: VCMDQ0/LVCMDQ0: uncleared error detected, resetting arm-smmu-v3 arm-smmu-v3.0.auto: failed to reset impl arm-smmu-v3 arm-smmu-v3.0.auto: probe with driver arm-smmu-v3 failed with error -110 Unable to handle kernel paging request at virtual address ffff8000891e0098 ... Internal error: Oops: 0000000096000047 [#1] SMP ... Call trace: arm_smmu_cmdq_issue_cmdlist+0x320/0x6fc (P) tegra241_vcmdq_hw_deinit+0x98/0x168 tegra241_vintf_hw_deinit+0x5c/0x1b0 tegra241_cmdqv_remove_vintf+0x34/0xec tegra241_cmdqv_remove+0x40/0x9c arm_smmu_impl_remove+0x20/0x30 devm_action_release+0x14/0x20 devres_release_all+0xa8/0x110 device_unbind_cleanup+0x18/0x84 really_probe+0x1f0/0x29c Geri sarma işleminin artık serbest bırakılan kuyruğa erişmemesi için VINTF deinit işlemi tegra241_cmdqv_remove_vintf() fonksiyonundan kaldırılmıştır. Bunun yerine VINTF'ler daha erken susturulur. Bir device_disable() impl operatörü eklenmiş ve CMDQ hala aktifken arm_smmu_disable_action() üzerinden çalıştırılmıştır. Bu, canlı bir ayırma (unbind) işlemini yönetir. Başarısız bir sıfırlama zaten tegra241_vintf_hw_init() tarafından kendi hata yolunda VINTF'yi devre dışı bıraktığı için yönetilmektedir. tegra241_cmdqv_remove_vintf() aynı zamanda iommufd viommu yok etme yolu tarafından da kullanıldığından, orada da susturma işlemi uygulanmıştır.