CVE-2026-19574

Zaplecze MMU ARM64 przydzieliło identyfikatory przestrzeni adresowej (ASID) dla domen pamięci z gołym licznikiem okrężnym w arch_mem_domain_init() (arch/arm64/core/mmu.c). VM_ASID_BITS wynosi 8, zatem istnieje tylko 255 identyfikatorów ASID; po zamknięciu licznika arch_mem_domain_init() może przekazać ASID nowej domenie, podczas gdy wciąż działająca domena zawiera tę samą. Mapowania domeny prywatnej są instalowane nieglobalnie (MT_NG), więc ASID jest jedynym znacznikiem oddzielającym tłumaczenia w pamięci podręcznej jednej domeny od tłumaczeń innej domeny w TLB.

Ścieżka przełączania kontekstu w z_arm64_swap_ptables() opróżnia TLB tylko wtedy, gdy domeny wychodzące i przychodzące mają ten sam ASID, co nie obejmuje duplikatu osiąganego przez trzecią domenę: dla domen A i C współdzielących ASID i niepowiązanej domeny B, harmonogram A -> B -> C nigdy nie korzysta z gałęzi opróżniającej, więc wpisy A ze znacznikiem ASID pozostają rezydentne podczas działania C. W ramach SMP dwie aktywne domeny współdzielące ASID mogą dodatkowo znajdować się na dwóch procesorach jednocześnie, czego architektura nie pozwala na odrębne zestawy tabel translacji.

Wyzwolenie zawijania wymaga aplikacji CONFIG_USERSPACE na ARM64, która tworzy ponad 255 domen pamięci w ciągu swojego życia; k_mem_domain_init() i k_mem_domain_deinit() to interfejsy API przeznaczone wyłącznie dla nadzorców i nie są ujawniane jako wywołania systemowe, więc nieuprzywilejowany wątek nie może bezpośrednio sterować licznikiem. Jednak po utworzeniu dwóch aktywnych domen wątek trybu użytkownika w jednej domenie może odczytywać i zapisywać pamięć należącą do partycji i stosów wątków drugiej domeny z uprawnieniami tej domeny, pokonując granicę izolacji domeny pamięci.

Poprawka skanuje aktywną listę_domen przed przypisaniem ASID, przesuwa licznik okrężny poza już używane ASID i zwraca -ENOMEM, gdy wszystkie są zajęte, więc tworzenie domeny kończy się niepowodzeniem zamiast cichego aliasowania.