Odebrany

CVE-2026-98216

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

IB/hfi1: Napraw mmap zwrotu kredytu PIO_CRED

Sprawa PIO_CRED funkcji hfi1_file_mmap() musi udostępniać użytkownikowi przestrzeń pojedynczą
strona zwrotu kredytu, która zawiera wpis tego kontekstu. Ta strona to
druga lub trzecia strona alokacji zwrotu kredytu na węzeł po
sprzętowy indeks kontekstu wysyłania osiąga 64 lub 128, więc poniższa awaria jest taka
przerywany: gdy wpis ląduje na pierwszej stronie, przesunięcie wynosi zero
i wszystko działa.

Dwie rzeczy są nie tak.

Po pierwsze, cr_page_offset jest przesunięciem bajtu, ale .va jest strukturą
credit_return *, więc dodanie go jest arytmetyką wskaźnikową i skaluje przesunięcie
według sizeof(struct credit_return) == 64. memvirt następnie ląduje 256 KiB lub
512 KiB powyżej alokacji 10240 bajtów. Z tłumaczeniem IOMMU, to
adres należy do zakresu vmalloc, ale nie należy do obszaru vm_area, więc
dma_mmap_coherent() -> iommu_dma_mmap() nie znajduje żadnych stron, vmalloc_to_pfn()
zwraca page_to_pfn(NULL), a remap_pfn_range() instaluje ramkę powyżej
MAXPHYADDR. Pierwszy użytkownik przeczytał następnie:

psm2_ep_open_pr: Uszkodzona tabela stron pod adresem 7a14d007e000
PGD 800000013886a067 P4D 800000013886a067 PUD 13886b067 PMD 13886c067
PTE 800049168e911235
Ups: Zła tabela stron: 000d [#1] SMP PTI

Po drugie, wciąż błędne po poprawieniu arytmetyki,
dma_mmap_coherent() opisuje cały spójny bufor i wybiera
stronę w nim za pomocą vma->vm_pgoff. Przesunięcie cpu_addr nie ma żadnego efektu:
dla alokacji vmap iommu_dma_mmap() używa cpu_addr tylko do zlokalizowania
vm_area, a następnie mapuje strony[vm_pgoff], które właśnie wykonała funkcja hfi1_file_mmap()
ustawiona na 0. Dlatego przestrzeń użytkownika zawsze otrzymuje pierwszy zwrot środków
stronie, każdy odczyt kredytu dotyczy niewłaściwego kontekstu i powoduje opóźnienia PIO
na zawsze.

Użyj interfejsu API DMA zgodnie z przeznaczeniem: przekaż podstawę alokacji wraz z jego
pełnej długości i wybierz stronę z vm_pgoff. Osobna długość to
potrzebne, ponieważ memlen musi na bieżąco opisywać VMA dla istniejącego rozmiaru
sprawdź. Ścieżka dma-direct również pozostaje poprawna, ponieważ dma_direct_mmap()
dodaje ten sam vm_pgoff do podstawowego pfn.

Testowane na Dell T7610 (Xeon E5-2650 v2, Intel IOMMU w trybie DMA-FQ)
przeciwko urządzeniu równorzędnemu Threadripper PRO 3995WX, oba Omni-Path 100. Wcześniej
zmień psm2_ep_open() Omija jądro; tylko z arytmetyką
poprawione psm2_ep_open() kończy się sukcesem, ale każdy transfer korzystający z wysyłania PIO
zawiesza się, PSM2_SDMA=2 (wysyłanie PIO wyłączone) kończy się normalnie podczas
PSM2_SDMA=0 (wyślij tylko PIO) zawiesza się za każdym razem. Dzięki tej zmianie wyślij PIO,
send DMA i domyślny tryb mieszany działają.

In the Linux kernel, the following vulnerability has been resolved:

IB/hfi1: Fix the PIO_CRED credit-return mmap

hfi1_file_mmap()'s PIO_CRED case must hand user space the single
credit-return page that holds this context's entry. That page is the
second or third page of the per-node credit-return allocation once the
hardware send context index reaches 64 or 128, so the failure below is
intermittent: when the entry lands on the first page the offset is zero
and everything works.

Two things are wrong.

First, cr_page_offset is a byte offset but .va is a struct
credit_return *, so adding it is pointer arithmetic and scales the offset
by sizeof(struct credit_return) == 64. memvirt then lands 256 KiB or
512 KiB past a 10240-byte allocation. With an IOMMU translating, that
address is inside the vmalloc range but in no vm_area, so
dma_mmap_coherent() -> iommu_dma_mmap() finds no pages, vmalloc_to_pfn()
returns page_to_pfn(NULL), and remap_pfn_range() installs a frame above
MAXPHYADDR. The first user read then takes:

psm2_ep_open_pr: Corrupted page table at address 7a14d007e000
PGD 800000013886a067 P4D 800000013886a067 PUD 13886b067 PMD 13886c067
PTE 800049168e911235
Oops: Bad pagetable: 000d [#1] SMP PTI

Second, and still wrong once the arithmetic is corrected,
dma_mmap_coherent() describes a whole coherent buffer and selects the
page within it with vma->vm_pgoff. Offsetting cpu_addr has no effect:
for a vmap'd allocation iommu_dma_mmap() uses cpu_addr only to locate the
vm_area and then maps pages[vm_pgoff], which hfi1_file_mmap() has just
set to 0. User space therefore always receives the first credit-return
page, every credit read is for the wrong context, and send PIO stalls
forever.

Use the DMA API as intended: pass the base of the allocation with its
full length and select the page with vm_pgoff. A separate length is
needed because memlen must keep describing the VMA for the existing size
check. The dma-direct path stays correct as well, since dma_direct_mmap()
adds the same vm_pgoff to the base pfn.

Tested on a Dell T7610 (Xeon E5-2650 v2, Intel IOMMU in DMA-FQ mode)
against a Threadripper PRO 3995WX peer, both Omni-Path 100. Before this
change psm2_ep_open() Oopses the kernel; with only the arithmetic
corrected psm2_ep_open() succeeds but any transfer that uses send PIO
hangs, PSM2_SDMA=2 (send PIO disabled) completing normally while
PSM2_SDMA=0 (send PIO only) hangs every time. With this change send PIO,
send DMA and the default mixed mode all work.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve