Odebrany

CVE-2026-97997

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

virtio_ring: napraw nieaktualne flagi deskryptorów po nieudanym spakowaniu

W upakowanym pierścieniu bity AVAIL i USED znajdują się w samym deskryptorze,
więc ich zapisanie udostępnia ten deskryptor. Te kombinacje bitów
odwracaj znaczenie w każdej rundzie pierścienia, śledzone przez licznik zawijania, tzw
unieważnienie lub sprawdzenie deskryptora oznacza odwrócenie obu bitów.

Zatwierdzono 1ce9e6055fa0 („virtio_ring: wprowadź obsługę upakowanego pierścienia”)
virtqueue_add_packed() udostępnia każdy deskryptor łańcucha jako taki
odwzorowuje łańcuch i wpisz głowę jako ostatnią. Urządzenie zużywa pierścień
porządku i zatrzymuje się na czele, która nie jest jeszcze dostępna, więc nigdy nie dociera
reszta.

Kiedy funkcja vring_map_one_sg() zawiedzie częściowo, unmap_release odmapowuje segmenty
i przywraca available_used_flags, ale deskryptory, do których zapisał w pliku
pierścień pozostaje oznaczony bitami AVAIL i USED. Głowa jest teraz jedyna
wpis, który zapobiega zużywaniu przez urządzenie tych nieaktualnych wpisów.

Na przykład pierścionek wyglądałby teraz tak.

Z - poprzednie polecenie
A - poprzednie polecenie
B - polecenie przerwane
C - aktualne polecenie

[A1 GOTOWE] [A2 GOTOWE] <C1 PUSTE> [B2] [B3] [Z1 GOTOWE]

Gdy kierowca spróbuje teraz wydać polecenie C, rozpocznie się kolejne dodawanie
na tym samym czele co B. Jeśli C obejmuje mniej deskryptorów niż B, nie ma
znacznik końca, ponieważ bity AVAIL i USED były nadal na swoim miejscu. I to
oznacza, że urządzenie zacznie interpretować te nieaktualne wpisy (B2/B3) jako
kolejny wpis polecenia, który następnie blokuje kolejkę.

Ten efekt zwykle występuje w konfiguracjach swiotlb w pamięci
ciśnienie, ponieważ funkcja vring_map_one_sg() może wówczas zakończyć się niepowodzeniem przy większych operacjach we/wy
prośby, które następnie prowadzą do nakazu aborcji.

Istnieją zasadniczo 2 sposoby uniknięcia pozostawienia tych flag:

1) Odłóż także te flagi do czasu zakończenia łańcucha.
2) Przepisz te flagi dla poprzedniego licznika zawinięć.

Zaimplementuj drugą opcję w obu spakowanych ścieżkach dodawania. Pierwsza opcja
przechodzi przez łańcuch po raz drugi przy każdym udanym dodaniu. Drugi
opcja unieważnia wszystkie dodane deskryptory w przypadku niepowodzenia dodawania.

Po zastosowaniu tej poprawki zapełniona wirtualna kolejka realizuje żądania
po nieudanym dodaniu.

In the Linux kernel, the following vulnerability has been resolved:

virtio_ring: fix stale descriptor flags after a failed packed add

In a packed ring the AVAIL and USED bits sit in the descriptor itself,
so writing them makes that descriptor available. Those bit combinations
flip meaning on every round of the ring, tracked by a wrap counter, so
invalidating or validating a descriptor means inverting both bits.

Commit 1ce9e6055fa0 ("virtio_ring: introduce packed ring support") has
virtqueue_add_packed() make every descriptor of a chain available as it
maps the chain, and write the head last. The device consumes the ring in
order and stops at a head that is not available yet, so it never reaches
the rest.

When vring_map_one_sg() fails partway, unmap_release unmaps the segments
and restores avail_used_flags, but the descriptors it wrote to in the
ring stay marked with AVAIL and USED bits. The head is now the only
entry that keeps the device from consuming these stale entries.

For example, the ring would look like this now.

Z - pre-previous command
A - previous command
B - aborted command
C - current command

[A1 DONE] [A2 DONE] <C1 EMPTY> [B2] [B3] [Z1 DONE]

When the driver now attempts to issue the C command, the next add starts
at the same head as B. If C spans less descriptors than B, there is no
end marker because AVAIL and USED bits were still in place. And that
means the device will start interpreting these stale entries (B2/B3) as
another command entry, which then blocks the queue.

This effect typically happens in swiotlb configurations under memory
pressure, because vring_map_one_sg() can then fail with larger I/O
requests which then leads to command abortions.

There are broadly 2 ways to avoid leaving those flags behind:

1) Defer those flags too until the chain is complete.
2) Rewrite those flags for the previous wrap counter.

Implement the second option in both packed add paths. The first option
traverses the chain a second time on every successful add. The second
option invalidates all added descriptors when any add fails.

With this patch applied, a packed virtqueue keeps completing requests
after a failed add.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve