CVE-2026-80608: Use-After-Free in AMD XDNA IOMMU Domain

Zusammenfassung

Eine Use-After-Free-Schwachstelle wurde im Linux Kernel im AMD XDNA Accelerator-Treiber (accel/amdxdna) entdeckt. Die Vulnerabilität ermöglicht es, auf bereits freigegebene IOMMU-Domain-Speicher zuzugreifen, wenn bestimmte Bedingungen während des Geräteremoval erfüllt sind. Der CVSS-Score von 8.8 indiziert einen hohen Schweregrad mit potenzieller Kernel-Instabilität.

Betroffene Systeme

Betroffen sind Linux-Systeme mit aktiviertem AMD XDNA Accelerator-Support, insbesondere wenn die force_iova-Konfiguration aktiviert ist. Dies umfasst:

• Linux Kernel mit accel/amdxdna-Modul
• Systeme mit AMD-Beschleunigungshardware
• Konfigurationen mit aktiviertem IOMMU und force_iova-Modus

Technische Details

Die Schwachstelle manifestiert sich durch eine Race Condition zwischen amdxdna_remove() und amdxdna_gem_obj_free(). Beim Entfernen des Geräts wird die IOMMU-Domain (xdna->domain) freigegeben. Sollte allerdings amdxdna_gem_obj_free() nach dem Device-Removal aufgerufen werden, versucht die Funktion, auf den bereits freigegebenen Speicher zuzugreifen.

Die Ursache liegt in unzureichender Ressourcenverwaltung. Die IOMMU-Domain wird manuell freigegeben, ohne dass die Lebensdauer durch das DRM-Framework (Direct Rendering Manager) verwaltet wird.

Angriffsvektor: Lokal – erfordert Zugriff auf das System und die Möglichkeit, Geräte zu entfernen oder spezifische Kernel-Operationen auszulösen.

Empfohlene Massnahmen

• Linux-Kernel auf aktuelle Version mit Patch aktualisieren
• Monitoring von Kernel-Crashes und Oops-Meldungen implementieren
• Zugriffskontrolle auf Hardware-Geräte einschränken
• IOMMU-Konfiguration überprüfen und force_iova nur bei Bedarf aktivieren
• Regelmäßige Kernel-Updates durchführen

Bewertung

CVSS Score: 8.8 (High)
Angriffsvektor: Local
Komplexität: Mittel – Race Condition erfordert spezifische Timing-Bedingungen
Auswirkungen: Kernel-Instabilität, DoS, potenzielle Privilege Escalation

Die Behebung erfolgt durch Integration der Domain-Freigabe in das DRM-verwaltete Release-System, was die Lebensdauer der IOMMU-Domain bis zum vollständigen Ressourcen-Cleanup garantiert.