Utilisation après libération affectant le sous-système DMA Engine du noyau Linux (CVE-2026-98342)

Le sous-système dmaengine du noyau Linux fournit un cadre standardisé et une couche d'abstraction pour les contrôleurs d'accès direct à la mémoire (DMA), qui déchargent le processeur principal des transferts mémoire à haut débit. Dans l'implémentation du noyau, la fonction dma_issue_pending_all() parcourt la liste globale dma_device_list à l'aide de list_for_each_entry_rcu(), dans une section critique protégée par rcu_read_lock(). À l'inverse, dma_device_release() retire le périphérique ciblé avec list_del_rcu(), puis appelle la fonction device_release() propre au pilote, qui libère la structure mémoire du périphérique (souvent via kfree()). À la suite de modifications ayant dissocié le cycle de vie des structures dma_device du comptage de références des modules fournisseurs, un périphérique retiré pouvait être libéré immédiatement, sans attendre la fin des lecteurs RCU concurrents. En l'absence de période de grâce RCU obligatoire entre le retrait du périphérique et l'appel à device_release(), des lecteurs RCU parcourant simultanément dma_device_list pouvaient accéder à une mémoire déjà libérée. Le problème a été corrigé dans les branches stables du noyau Linux par l'ajout d'un appel systématique à synchronize_rcu() avant la libération de la structure mémoire du périphérique, ce qui garantit que toutes les sections critiques de lecture RCU concurrentes sont terminées avant la libération de la mémoire.

• Versions du noyau Linux intégrant le suivi dissocié du cycle de vie de dma_device, antérieures aux versions stables corrigées ;
• Branches stables du noyau Linux antérieures aux commits 4aed7e47a10b94ea3c5171e8d1382081accd2e03, 4448a539a0c39141cccc67be6cacde0f35024313, 8577a5ec4f7e00443015ef99f646def093121a1b, 14578c78405d51fa92e4ada4502a45f537c0fcb8 et ac8ce9f89638d6d79875cca7d8ae42566a9bde15 ;
• Distributions d'entreprise (notamment Red Hat, Ubuntu, Debian, SUSE et Oracle Linux) déployant des noyaux non corrigés.