Odebrany

CVE-2026-98468

opublikowano: 18.10.2026, 18:16

modyfikacja: 19.10.2026, 12:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

KVM: arm64: Napraw fałszywe ostrzeżenie dotyczące łagodnego wyścigu po porzuceniu na etapie 2

kvmtool został użyty do ustanowienia gościa L1 z 8 procesorami i 8 GiB pamięci RAM, an
Gość L2 z 4 procesorami i 4 GiB pamięci RAM oraz gość L3 z 2 procesorami i 2 GiB
RAM, z których cała została następnie zamknięta.

Pod presją pamięci w hoście L0 zaobserwowano ostrzeżenia z powodu
migracja wywołana zagęszczeniem:

OSTRZEŻENIE: arch/arm64/kvm/mmu.c:336 w __unmap_stage2_range+0x64/0x80,
Procesor nr 5: kcompactd0/66

Co z kolei zostało wywołane przez powiadomienie MMU o unieważnieniu hosta:

mmu_notifier_invalidate_range_start()
-> ... -> kvm_mmu_notifier_invalidate_range_start()
-> kvm_mmu_unmap_gfn_range()
-> kvm_unmap_gfn_range()
-> kvm_nested_s2_unmap()
-> kvm_stage2_unmap_range()
-> __unmap_stage2_range()
-> etap2_zastosuj_zakres()
<- -EINVAL, wyzwalanie WARN_ON()

Wyścigi z rozbiórką tabel stron etapu 2 przez L0:

wyjście_mm()
-> mmput()
-> __mmput()
-> wyjście_mmap()
-> mmu_notifier_release()
-> ... -> kvm_mmu_notifier_release()
-> kvm_flush_shadow_all()
-> kvm_arch_flush_shadow_all()
-> kvm_free_stage2_pgd()
-> [pobierz kvm->mmu_lock do zapisu ]
-> mmu->pgt = NULL [między innymi zadaniami]
-> [ zwolnij kvm->mmu_lock do zapisu ]

Okazuje się, że istnieje łagodna rasa, której skutkiem jest fałszywe ostrzeżenie:

Wątek A - powiadom: migracja | Wątek B - powiadom: zwolnij
-----------------------------------------|---------------------------------
< kvm->mmu_lock wstrzymany > |
stage2_apply_range() |
pobierz mmu->pgt, sprawdź !NULL |
... | kvm_arch_flush_shadow_all()
cond_resched_rwlock_write(); | <walcz, śpij kvm->mmu_lock >
< upuść kvm->mmu_lock > | <pobierz kvm->mmu_lock>
| ...
| kvm_free_stage2_pgd()
| mmu->pgt = NULL
| <unieważnij MMU>
| ...
| < zwolnij kvm->mmu_lock >
[zaplanowane] |
stage2_apply_range() |
< pętla do następnego > |
get, mmu->pgt, sprawdź !NULL |
ma wartość NULL, zwróć -EINVAL |
__unmap_stage2_range() |
WARN_ON(-EINVAL) <--- całkowicie fałszywe - wyścig został obsłużony
poprawnie.

Napraw fałszywe ostrzeżenie, aktualizując funkcję stage2_apply_range() tak, aby już nie występowała
traktuj równoczesne rozbicie PGT przy zwolnieniu blokady jako błąd - niezależnie od tego, czy
walker burzy tabele stron lub robi coś innego. To jest
uzasadniony powód do przerwania operacji bez błędu.

Dzięki temu ostrzeżenie będzie obowiązywać we wszystkich innych okolicznościach.

W praktyce tylko __unmap_stage2_range() faktycznie robi cokolwiek z
błąd, więc ma to wpływ tylko na to.

In the Linux kernel, the following vulnerability has been resolved:

KVM: arm64: Fix spurious warning for benign stage 2 teardown race

kvmtool was used to establish an L1 guest with 8 CPUs and 8 GiB of RAM, an
L2 guest with 4 CPUs and 4 GiB of RAM and an L3 guest with 2 CPUs and 2 GiB
of RAM, all of which was then exited.

Under memory pressure in the L0 host warnings were observed due to
migration triggered by compaction:

WARNING: arch/arm64/kvm/mmu.c:336 at __unmap_stage2_range+0x64/0x80,
CPU#5: kcompactd0/66

Which was, in turn, triggered by an MMU notifier for the host invalidation:

mmu_notifier_invalidate_range_start()
-> ... -> kvm_mmu_notifier_invalidate_range_start()
-> kvm_mmu_unmap_gfn_range()
-> kvm_unmap_gfn_range()
-> kvm_nested_s2_unmap()
-> kvm_stage2_unmap_range()
-> __unmap_stage2_range()
-> stage2_apply_range()
<- -EINVAL, triggering a WARN_ON()

Racing with L0's teardown of stage 2 page tables:

exit_mm()
-> mmput()
-> __mmput()
-> exit_mmap()
-> mmu_notifier_release()
-> ... -> kvm_mmu_notifier_release()
-> kvm_flush_shadow_all()
-> kvm_arch_flush_shadow_all()
-> kvm_free_stage2_pgd()
-> [ acquire kvm->mmu_lock for write ]
-> mmu->pgt = NULL [ among other tasks ]
-> [ release kvm->mmu_lock for write ]

It turns out there is a benign race resulting in a spurious warning:

Thread A - notify: migration | Thread B - notify: release
-------------------------------|---------------------------------
< kvm->mmu_lock held > |
stage2_apply_range() |
get mmu->pgt, check !NULL |
... | kvm_arch_flush_shadow_all()
cond_resched_rwlock_write(); | < contend, sleep kvm->mmu_lock >
< drop kvm->mmu_lock > | < acquire kvm->mmu_lock>
| ...
| kvm_free_stage2_pgd()
| mmu->pgt = NULL
| < invalidate MMU >
| ...
| < release kvm->mmu_lock >
[ scheduled ] |
stage2_apply_range() |
< loop to next > |
get, mmu->pgt, check !NULL |
is NULL, return -EINVAL |
__unmap_stage2_range() |
WARN_ON(-EINVAL) <--- entirely spurious - the race was handled
correctly.

Fix the spurious warning by updating stage2_apply_range() to no longer
treat concurrent PGT teardown on lock release as an error - whether the
walker is tearing down page tables or doing something else this is a
legitimate reason to abort the operation without error.

This keeps the warning in place for all other circumstances.

In practice only __unmap_stage2_range() actually does anything with the
error so this only impacts that.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve