Wysoki Odebrany

CVE-2026-79979

opublikowano: 23.10.2026, 22:17

modyfikacja: 23.10.2026, 22:17

Ocena CVSS

7.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Backend MMU arm64 unieważnia pojedynczy adres wirtualny z TLB za pomocą funkcji validate_tlb_page() w arch/arm64/core/mmu.c, która wydała TLBI VAE1{IS} z operandem virt >> 12. Ten operand koduje ASID w bitach [63:48], więc unieważnienie zawsze odpowiada ASID 0 (tabele stron jądra) i wpisom globalnym. Jednakże domenom pamięci przydzielane są identyfikatory ASID rozpoczynające się od 1 w arch_mem_domain_init(), a każdy prywatny liść domeny utworzony przez private_map() jest mapowany za pomocą MT_NG, tj. nieglobalnego. Dlatego buforowane tłumaczenie domeny przetrwało unieważnienie.

Wszystkie wywołujące funkcję validate_tlb_page() są ścieżkami stronicowania na żądanie. Kiedy algorytm eksmisji odzyskuje ramkę, page_frame_prepare_locked() w kernel/mmu.c wywołuje arch_mem_page_out(), co oznacza, że liść jądra jest nieprawidłowy, propaguje nieprawidłowy deskryptor do każdej domeny poprzez sync_domains(), a następnie opróżnia tylko ASID 0. do_page_fault() natychmiast ponownie wykorzystuje tę samą ramkę strony do przychodzącego mapowania poprzez arch_mem_page_in(). Wątek użytkownika, który dotknął już eksmitowanej strony — k_mem_partition dodany za pomocą arch_mem_domain_partition_add() lub własny stos mapowany przez map_thread_stack() — zachowuje prawidłową translację odczytu/zapisu EL0 do tej fizycznej ramki pod własnym ASID.

Nieuprzywilejowany kod działający w wątku użytkownika może zwiększyć obciążenie pamięci, aby wymusić eksmisję, a następnie nadal uzyskiwać dostęp do nieaktualnego adresu, uzyskując dostęp do odczytu i zapisu do tego, co jądro później umieściło w tej ramce: dane nadzorcy, partycja innej domeny pamięci lub stos innego wątku. Eliminuje to izolację, którą ma egzekwować CONFIG_USERSPACE, umożliwiając ujawnienie informacji i uszkodzenie pamięci, aż do pełnego naruszenia bezpieczeństwa systemu.

Poprawka przełącza implementację na TLBI VAAE1{IS}, która dopasowuje każdy identyfikator ASID oraz wpisy zarówno globalne, jak i nieglobalne, więc żadne tłumaczenie z tagiem domeny nie przetrwa wyrzucenia strony, aktualizacji brudnego bitu lub wyczyszczenia flagi dostępu. Eksploatacja wymaga kompilacji arm64 z włączoną obsługą CONFIG_USERSPACE i CONFIG_DEMAND_PAGING, aktywnego magazynu kopii zapasowych i co najmniej jednej strony na żądanie, która jest również prywatnie mapowana w domenie pamięci użytkownika. To samo zatwierdzenie dodatkowo powstrzymuje globalize_table() przed pozbawieniem uprawnień EL0 i atrybutów nieglobalnych z prywatnych liści domeny podczas synchronizacji stronicowania, co wcześniej powodowało, że wątki użytkowników traciły dostęp do własnych partycji i stosów.

The arm64 MMU backend invalidates a single virtual address from the TLB with invalidate_tlb_page() in arch/arm64/core/mmu.c, which issued TLBI VAE1{IS} with an operand of virt >> 12. That operand encodes the ASID in bits [63:48], so the invalidation only ever matched ASID 0 (the kernel page tables) and global entries. Memory domains, however, are allocated ASIDs starting at 1 in arch_mem_domain_init(), and every domain-private leaf created by private_map() is mapped with MT_NG, i.e. non-global. A domain's cached translation therefore survived the invalidation.

All callers of invalidate_tlb_page() are demand-paging paths. When the eviction algorithm reclaims a frame, page_frame_prepare_locked() in kernel/mmu.c calls arch_mem_page_out(), which marks the kernel leaf invalid, propagates the invalid descriptor into every domain via sync_domains(), and then flushes only ASID 0. do_page_fault() immediately reuses the very same page frame for the incoming mapping through arch_mem_page_in(). A user thread that had already touched the evicted page — a k_mem_partition added with arch_mem_domain_partition_add(), or its own stack mapped by map_thread_stack() — retains a valid EL0 read/write translation to that physical frame under its own ASID.

Unprivileged code running in a user thread can drive memory pressure to force eviction and then keep accessing the stale address, obtaining read and write access to whatever the kernel subsequently placed in that frame: supervisor data, another memory domain's partition, or another thread's stack. This defeats the isolation that CONFIG_USERSPACE is meant to enforce, allowing information disclosure and memory corruption up to full compromise of the system.

The fix switches the implementation to TLBI VAAE1{IS}, which matches every ASID and both global and non-global entries, so no domain-tagged translation survives a page out, dirty-bit update or access-flag clear. Exploitation requires an arm64 build with both CONFIG_USERSPACE and CONFIG_DEMAND_PAGING enabled, an active backing store, and at least one demand-paged page that is also privately mapped into a user memory domain. The same commit additionally stops globalize_table() from stripping EL0 permission and non-global attributes off domain-private leaves during paging synchronization, which previously caused user threads to lose access to their own partitions and stacks.

>_ Słabości (CWE)

CWE-416

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve