CVE-2026-67846: BOOM NBDTLB における不正な権限割り当て

CVE ID

CVE-2026-67846

概要

Berkeley Out-of-Order Machine (BOOM) のコミット 5223e44cfeb26f41380057a2eb4d651197475f69 には、v3 および v4 NBDTLB 実装における潜在的な不正な権限割り当ての問題が含まれています。

生の mstatus.SUM 値は、使用箇所で明示的なローカルの satp.MODE 有効性チェックを行うことなく、読み取りおよび書き込み権限ロジックに組み込まれています。

影響を受ける製品

Berkeley Out-of-Order Machine (BOOM)

影響を受けるバージョン

BOOM コミット:

5223e44cfeb26f41380057a2eb4d651197475f69

影響を受ける実装:

• BOOM v3 NBDTLB
• BOOM v4 NBDTLB

影響を受けるコンポーネント

• src/main/scala/v3/lsu/tlb.scala
• src/main/scala/v4/lsu/tlb.scala

脆弱性の種類

不正なアクセス制御

攻撃の種類

ローカル

セキュリティへの影響

潜在的な影響は次のとおりです。

• 権限昇格
• 情報漏えい

攻撃条件

ローカルの攻撃者は、satp.MODE=0 の状態で mstatus.SUM=1 を生成する特権ソフトウェア、 ファームウェア、例外復帰、または状態遷移のパスを トリガーできる必要があります。

通常の非特権コードは mstatus を直接書き込むことはできません。

技術的説明

影響を受ける BOOM v3/v4 NBDTLB 実装では、mstatus.SUM の生の値が 読み取りおよび書き込み権限ロジックに組み込まれています。

関連する使用箇所では、SUM 関連の権限状態が消費される前に、 satp.MODE の明示的なローカル検証は行われません。

mstatus.SUM=1 かつ satp.MODE=0 の状態では、この動作により、 メモリアクセス権限処理において不正な権限割り当てが 発生する可能性があります。

参照

BOOM プロジェクト:

https://github.com/riscv-boom/riscv-boom

影響を受ける BOOM コミット:

https://github.com/riscv-boom/riscv-boom/commit/5223e44cfeb26f41380057a2eb4d651197475f69

Chipyard:

https://github.com/ucb-bar/chipyard

ProcessorFuzz:

https://github.com/bu-icsg/ProcessorFuzz

RISC-V ISA マニュアル:

https://github.com/riscv/riscv-isa-manual/releases

関連する RISC-V 脆弱性の参照:

https://www.cve.org/CVERecord?id=CVE-2025-45006

発見者

Duan Xuemei