CVE-2026-53359

सारांश

Linux कर्नेल में, निम्नलिखित भेद्यता का समाधान कर दिया गया है: KVM: x86: अप्रत्याशित भूमिका के कारण शैडो पेजिंग use-after-free को ठीक करें। कमिट 0cb2af2ea66ad ("KVM: x86: अप्रत्याशित GFN के कारण शैडो पेजिंग use-after-free को ठीक करें") ने संग्रहीत और गणना किए गए GFN के बीच शैडो पेजिंग असंगतता को ठीक किया; यह बग गेस्ट के बाहर से PDE मैपिंग बदलने और फिर memslot हटाने से ट्रिगर हो सकता था। rmap_remove() कॉल PDE परिवर्तन के बाद बनाई गई प्रविष्टियों से चूक जाता था क्योंकि लीफ SPTE का GFN struct kvm_mmu_page के GFN से मेल नहीं खाता था। हालाँकि, यदि संशोधित PDE किसी गैर-लीफ पृष्ठ की ओर इंगित करता है तो एक समान छिद्र बना रहता है। इस मामले में gfn को मेल खाने के लिए बनाया जा सकता है, लेकिन भूमिका मेल नहीं खाती: मूल बड़ा 2MB पृष्ठ direct=1 के साथ एक kvm_mmu_page बनाता है, जबकि नए 4KB को direct=0 के साथ kvm_mmu_page की आवश्यकता होती है। हालाँकि, kvm_mmu_get_child_sp() भूमिका की तुलना नहीं करता है, और इसलिए पृष्ठ का पुनः उपयोग करता है। अगला चरण नए पथ पर एक लीफ (4KB) SPTE स्थापित करना है, जो वॉक द्वारा हल किए गए gfn के अंतर्गत एक rmap प्रविष्टि दर्ज करता है। लेकिन जब उस चाइल्ड को जैप किया जाता है, तो उसके पैरेंट kvm_mmu_page में direct=1 होता है और kvm_mmu_page_get_gfn() 4KB पृष्ठ के लिए sp->shadowed_translation[] (या पुराने कर्नेल में sp->gfns[]) का उपयोग करने के बजाय sp->gfn + index के रूप में gfn की गणना करता है। इसलिए यह दर्ज की गई प्रविष्टि को हटाने में विफल रहता है। जब memslot हटाया जाता है तो शैडो पृष्ठ मुक्त कर दिया जाता है, लेकिन rmap प्रविष्टि बची रहती है, जैसा कि उस परिदृश्य में था जो पहले ही ठीक किया जा चुका था। वह कोड जो बाद में उस gfn को वॉक करता है (डर्टी लॉगिंग, MMU नोटिफायर अमान्यकरण, इत्यादि) एक sptep को डीरेफरेंस करता है जो मुक्त किए गए पृष्ठ में स्थित है, जिससे use-after-free उत्पन्न होता है।

• CVE-2026-53359जानकारीपूर्ण

  CVE-2026-53359