CVE-2026-74580

概要

Linuxカーネルにおいて、以下の脆弱性が修正されました: vhost: vring再構成時にvringメタデータキャッシュをリセットする。vq->meta_iotlb[]は各vringメタデータ領域を支えるvhost_iotlb_mapをキャッシュしており、iotlb_access_ok()はキャッシュヒット時に早期リターンし、そのヒットを領域がすでに検証済みである証拠とみなします: if (vhost_vq_meta_fetch(vq, addr, len, type)) return true; このキャッシュはVHOST_IOTLB_UPDATEおよびVHOST_IOTLB_INVALIDATE時、デバイスIOTLBの(再)初期化時、およびvqリセット時にリセットされますが、VHOST_SET_VRING_ADDRがvq->desc、vq->avail、vq->usedを置き換える場合や、VHOST_SET_VRING_NUMが領域サイズを変更する場合にはリセットされません。デバイスIOTLBがアタッチされている場合、vqが稼働中でも両方のioctlが受け入れられ、どちらもioctl時にアドレスを検証しません: アドレスがGIOVAであるためvq_access_ok()とvq_log_used_access_ok()は早期にtrueを返し、検証はプリフェッチ時に先送りされます。一度キャッシュが設定されると、この先送りされた検証はもはや実行されません -- vq_meta_prefetch()は古いエントリにヒットしてtrueを返し -- vhost_vq_meta_fetch()は、マッピングがもはやカバーしていないアドレスに対してmap->addr + addr - map->startとして古いマッピングを通じて変換を続けます。vhost_copy_to_user()とvhost_copy_from_user()はその結果を__copy_to_user()と__copy_from_user()で消費しますが、これらも結果をチェックしないため、その後のused ring更新やディスクリプタフェッチが、IOTLBが実際にマップしている領域外のメモリにアクセスしてしまいます。vringが再構成されるたびにメタデータキャッシュをリセットし、新しいアドレスがiotlb_access_ok()のスローパスを通じて再度処理されるようにしてください。

ソース

• security-researchPoC

  開示されたLinuxカーネル脆弱性に関するPoCのCコードと解説。CVEごとのエクスプロイトのソースコードと技術分析を含む。