Odebrany

CVE-2026-89960

opublikowano: 16.09.2026, 13:17

modyfikacja: 16.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

s390/vfio-ap: napraw nieaktualny wskaźnik pqap_hook w przypadku błędu w vfio_ap_mdev_set_kvm()

W vfio_ap_mdev_set_kvm(), kvm->arch.crypto.pqap_hook jest ustawione na
&matrix_mdev->pqap_hook przed uzyskaniem blokad aktualizacji i
mdev list jest sprawdzana pod kątem konfliktującego przypisania. Jeśli jest to inny mdev
już podłączony do tej samej instancji KVM, funkcja zwraca -EPERM
bez przywracania wskaźnika haka, pozostawiając kvm->arch.crypto.pqap_hook
wskazując na uszkodzony matrix_mdev zamiast na mdev, który jest zgodny z prawem
jest właścicielem KVM.

Ponieważ matrix_mdev->kvm nigdy nie jest ustawiona na tej ścieżce błędu,
vfio_ap_mdev_unset_kvm() nie oczyści haka, gdy matrix_mdev
jest później zamknięty. Jeśli matrix_mdev zostanie następnie zwolniony, wszystkie pliki PQAP
instrukcja wykonana przez gościa usunie odwołanie do nieaktualnego wskaźnika
poprzez pqap_hook_rwsem, co skutkuje darmowym użyciem.

Ponieważ kvm->arch.crypto.pqap_hook jest ustawione tylko w funkcji vfio_ap_mdev_set_kvm()
funkcji i jest czyszczony w funkcji vfio_ap_mdev_unset_kvm(), sprawdzenie
dla „kvm->arch.crypto.pqap_hook != NULL” wystarczy, aby określić
czy należy do innego mdev. Wyeliminuje to potrzebę powtarzania
listę matrix_dev->mdev_list, aby sprawdzić, czy obiekt kvm jest przypisany
kolejny mdev. Zostało to wprowadzone w wersji 3, aby złagodzić potrzebę podejmowania
mdevs_lock podczas iteracji listy; nie przeszkodziło to jednak A
potencjalny stan wyścigu.

Wewnątrz wykonywana jest teraz operacja pqap_hook_rwsem(write).
get_update_locks_for_kvm(), która jest aktualizowana w celu uzyskania
pqap_hook_rwsem(zapis) pomiędzy kvm->lock i mdevs_lock. To zamawianie
jest zgodny ze ścieżką przechwytywania PQAP, która uzyskuje pqap_hook_rwsem
w trybie odczytu, podczas gdy srcu jest przechowywane w vcpu->mutex, ustanawiając
zależność: kvm->lock -> vcpu->mutex -> srcu -> pqap_hook_rwsem (odczyt).

Pqap_hook_rwsem jest teraz uwalniany wewnątrz pliku
release_update_locks_for_kvm(), która jest aktualizowana do wydania
pqap_hook_rwsem(zapis) pomiędzy mdevs_lock i kvm->lock.

Dodatkowo kvm_put_kvm() w vfio_ap_mdev_unset_kvm() zostało przeniesione
po wydaniu_update_locks_for_kvm(). Wcześniej nazywało się to while
kvm->blokada została wstrzymana; gdyby to było kiedykolwiek ostatnie odniesienie, kvm_destroy_vm()
działałby pod kvm->lock, co spowodowałoby zakleszczenie.

In the Linux kernel, the following vulnerability has been resolved:

s390/vfio-ap: fix stale pqap_hook pointer on error in vfio_ap_mdev_set_kvm()

In vfio_ap_mdev_set_kvm(), kvm->arch.crypto.pqap_hook is set to
&matrix_mdev->pqap_hook before the update locks are acquired and the
mdev list is checked for a conflicting assignment. If another mdev is
already attached to the same KVM instance, the function returns -EPERM
without restoring the hook pointer, leaving kvm->arch.crypto.pqap_hook
pointing at the failing matrix_mdev instead of the mdev that legitimately
owns the KVM.

Since matrix_mdev->kvm is never set on this error path,
vfio_ap_mdev_unset_kvm() will not clean up the hook when matrix_mdev
is later closed. If matrix_mdev is subsequently freed, any PQAP
instruction executed by the guest will dereference the stale pointer
through pqap_hook_rwsem, resulting in a use-after-free.

Since kvm->arch.crypto.pqap_hook is only set in the vfio_ap_mdev_set_kvm()
function and is cleared in the vfio_ap_mdev_unset_kvm() function, a check
for 'kvm->arch.crypto.pqap_hook != NULL' is all that is needed to determine
whether it belongs to another mdev. This will alleviate the need to iterate
the matrix_dev->mdev_list list to see if the kvm object is assigned to
another mdev.This was introduced in v3 to alleviate the need to take the
mdevs_lock while iterating the list; however, this did not prevent a
potential race condition.

The pqap_hook_rwsem(write) is now performed inside
get_update_locks_for_kvm(), which is updated to acquire
pqap_hook_rwsem(write) between kvm->lock and mdevs_lock. This ordering
is consistent with the PQAP intercept path, which acquires pqap_hook_rwsem
in read mode while srcu is held under vcpu->mutex, establishing the
dependency: kvm->lock -> vcpu->mutex -> srcu -> pqap_hook_rwsem(read).

The pqap_hook_rwsem is now released inside the
release_update_locks_for_kvm(), which is updated to release
pqap_hook_rwsem(write) between mdevs_lock and kvm->lock.

Additionally, kvm_put_kvm() in vfio_ap_mdev_unset_kvm() is moved
after release_update_locks_for_kvm(). Previously it was called while
kvm->lock was held; if it were ever the last reference, kvm_destroy_vm()
would run under kvm->lock, which would deadlock.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve