Odebrany

CVE-2026-89928

opublikowano: 16.09.2026, 13:17

modyfikacja: 16.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

KVM: x86/mmu: Zużywa zablokowaną wartość rmap podczas spaceru bez blokady

__kvm_rmap_lock() celowo pomija blokadę rmap, gdy zaobserwuje
pusta rama. W takim przypadku kvm_rmap_lock_readonly() również ponownie włącza
wywłaszczanie i zwraca zero, więc obiekt wywołujący nie posiada żadnej blokady rmap
ani odniesienia do wywłaszczenia. Elizja dokumentuje niezmiennik
opiera się na:

* Usuń blokadę, jeśli rmap jest pusta, ponieważ chodziki bez zamków (tylko do odczytu
* mode) nie muszą (i nie mogą) chodzić po pustej mapie, ani nie mogą dodawać
* wpisy do rmapu. Tj. jedyne ścieżki, które przetwarzają puste rmapy
* zrób to trzymając mmu_lock do zapisu i wzajemnie się wykluczają.

kvm_rmap_age_gfn_range() ignoruje zwróconą wartość i bezwarunkowo
wchodzi do for_each_rmap_spte_lockless(). Iterator zaczął się od
rmap_get_first(), która ponownie odczytuje rmap_head->val zamiast używać
wartość zwrócona przez blokadę. Jeśli moduł zapisujący zapełni rmap pomiędzy plikami
odczyt blokady i ponowny odczyt iteratora, ścieżka starzenia przechodzi na nowo
zainstalowałem rmap bez trzymania blokady.

W przypadku mapy KVM_RMAP_MANY oznacza to, że piechur podąża za a
łańcuch pte_list_desc, którego nigdy nie blokował. Pisarz posiadający mmu_lock dla
zapis może zwolnić ten łańcuch (np. kvm_zap_all_rmap_sptes() w koszu
path lub dowolny rmap zap) za pomocą kmem_cache_free() podczas spaceru
postęp, dzięki czemu płyta nie będzie już używana. Nic nie serializuje tych dwóch: the
ścieżka starzenia działa bez mmu_lock gdy CONFIG_KVM_MMU_LOCKLESS_AGING=y,
a blokada rmap, która w przeciwnym razie wykluczałaby autora, została usunięta.
Ponieważ pusta ścieżka ponownie umożliwia wywłaszczanie, odstęp między
dwa odczyty mogą obejmować dowolne opóźnienie planowania.

Napraw klasę błędu, powodując, że spacer bez zamka zużywa wartość
zwrócony przez zamek zamiast ponownego odczytania rmapu. Podziel
rmap_get_first() na __rmap_get_first(), która rozpoczyna iterator od
już przeczytaną wartość rmap i wykonaj funkcję for_each_rmap_spte_lockless().
tę wartość i bezpośrednio wywołaj funkcję __rmap_get_first().
kvm_rmap_age_gfn_range() przekazuje wartość zwróconą przez
kvm_rmap_lock_readonly(): gdy blokada została zdjęta, wartość wynosi zero,
__rmap_get_first() zwraca NULL i przechodzenie jest pomijane. Brak blokady
walker ponownie odczytuje rmap, więc niezmiennik blokady elizji nie może być
naruszona i do pliku nie jest dodawana żadna ścieżka lock()-without-paired-unlock().
kod starzenia.

In the Linux kernel, the following vulnerability has been resolved:

KVM: x86/mmu: Consume the locked rmap value in the lockless rmap walk

__kvm_rmap_lock() deliberately elides the rmap lock when it observes an
empty rmap. In that case kvm_rmap_lock_readonly() also re-enables
preemption and returns zero, so the caller holds neither the rmap lock
nor a preemption reference. The elision documents the invariant it
relies on:

* Elide the lock if the rmap is empty, as lockless walkers (read-only
* mode) don't need to (and can't) walk an empty rmap, nor can they add
* entries to the rmap. I.e. the only paths that process empty rmaps
* do so while holding mmu_lock for write, and are mutually exclusive.

kvm_rmap_age_gfn_range() ignores the returned value and unconditionally
enters for_each_rmap_spte_lockless(). The iterator started with
rmap_get_first(), which re-reads rmap_head->val rather than using the
value returned by the lock. If a writer populates the rmap between the
lock's read and the iterator's re-read, the aging path walks the newly
installed rmap without holding its lock.

For a KVM_RMAP_MANY rmap this leaves the walker following a
pte_list_desc chain that it never locked. A writer holding mmu_lock for
write may free that chain (e.g. kvm_zap_all_rmap_sptes() on the recycle
path, or any rmap zap) via kmem_cache_free() while the walk is in
progress, giving a slab use-after-free. Nothing serialises the two: the
aging path runs without mmu_lock when CONFIG_KVM_MMU_LOCKLESS_AGING=y,
and the rmap lock that would otherwise exclude the writer was elided.
Because the empty path re-enables preemption, the interval between the
two reads can span an arbitrary scheduling delay.

Fix the class of bug by having the lockless walk consume the value
returned by the lock instead of re-reading the rmap. Split
rmap_get_first() into __rmap_get_first(), which starts an iterator from
an already-read rmap value, and make for_each_rmap_spte_lockless() take
that value and call __rmap_get_first() directly.
kvm_rmap_age_gfn_range() passes the value returned by
kvm_rmap_lock_readonly(): when the lock was elided the value is zero,
__rmap_get_first() returns NULL, and the walk is skipped. No lockless
walker re-reads the rmap, so the lock-elision invariant cannot be
violated, and no lock()-without-paired-unlock() path is added to the
aging code.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve