CVE-2026-74580

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: vhost: Zurücksetzen des vring-Metadaten-Caches bei vring-Rekonfiguration vq->meta_iotlb[] cached die vhost_iotlb_map, die jede vring-Metadatenregion absichert, und iotlb_access_ok() kehrt bei einem Cache-Treffer vorzeitig zurück und nimmt den Treffer als Beweis dafür, dass die Region bereits validiert wurde: if (vhost_vq_meta_fetch(vq, addr, len, type)) return true; Der Cache wird bei VHOST_IOTLB_UPDATE und VHOST_IOTLB_INVALIDATE, bei (Re-)Initialisierung des Geräte-IOTLB und bei vq-Reset zurückgesetzt, jedoch nicht, wenn VHOST_SET_VRING_ADDR vq->desc, vq->avail und vq->used ersetzt, und auch nicht, wenn VHOST_SET_VRING_NUM die Regionsgrößen ändert. Mit einem angehängten Geräte-IOTLB werden beide ioctls akzeptiert, während die vq aktiv ist, und keines von beiden validiert die Adressen zum Zeitpunkt des ioctl: vq_access_ok() und vq_log_used_access_ok() kehren vorzeitig mit true zurück, weil die Adressen GIOVAs sind, und verschieben die Validierung auf den Prefetch-Zeitpunkt. Sobald der Cache befüllt wurde, läuft diese aufgeschobene Validierung nicht mehr – vq_meta_prefetch() trifft den veralteten Eintrag und gibt true zurück – und vhost_vq_meta_fetch() übersetzt weiterhin über die alte Zuordnung als map->addr + addr - map->start für eine Adresse, die die Zuordnung nicht mehr abdeckt. vhost_copy_to_user() und vhost_copy_from_user() verwenden das Ergebnis mit __copy_to_user() und __copy_from_user(), die es ebenfalls nicht prüfen, sodass ein nachfolgendes Used-Ring-Update oder ein Descriptor-Fetch auf Speicher außerhalb der Region zugreift, die der IOTLB tatsächlich abbildet. Setzen Sie den Metadaten-Cache zurück, wann immer der vring rekonfiguriert wird, damit die neuen Adressen erneut durch den langsamen Pfad von iotlb_access_ok() geleitet werden.

Quellen

• security-researchPoC

  Proof-of-Concept-C-Code und Writeups für offengelegte Linux-Kernel-Schwachstellen, einschließlich Exploit-Quellcode und technischer Analyse pro CVE.