CVE-2026-74580

요약

Linux 커널에서 다음과 같은 취약점이 해결되었습니다: vhost: vring 재구성 시 vring 메타데이터 캐시 재설정. vq->meta_iotlb[]는 각 vring 메타데이터 영역을 뒷받침하는 vhost_iotlb_map을 캐시하며, iotlb_access_ok()는 캐시 적중 시 조기 반환하여 해당 영역이 이미 검증되었다는 증거로 간주합니다: if (vhost_vq_meta_fetch(vq, addr, len, type)) return true; 이 캐시는 VHOST_IOTLB_UPDATE 및 VHOST_IOTLB_INVALIDATE 시, 디바이스 IOTLB (재)초기화 시, 그리고 vq 리셋 시에 재설정되지만, VHOST_SET_VRING_ADDR이 vq->desc, vq->avail 및 vq->used를 교체할 때나 VHOST_SET_VRING_NUM이 영역 크기를 변경할 때는 재설정되지 않습니다. 디바이스 IOTLB가 연결된 상태에서는 vq가 활성화된 동안 두 ioctl 모두 허용되며, 어느 것도 ioctl 시점에 주소를 검증하지 않습니다: vq_access_ok()와 vq_log_used_access_ok()는 주소가 GIOVA이기 때문에 조기 반환하여 검증을 prefetch 시점으로 미룹니다. 캐시가 채워진 후에는 해당 지연된 검증이 더 이상 실행되지 않습니다 -- vq_meta_prefetch()는 오래된 항목에 적중하여 true를 반환하며 -- vhost_vq_meta_fetch()는 매핑이 더 이상 포함하지 않는 주소에 대해 map->addr + addr - map->start로 이전 매핑을 통해 계속 변환합니다. vhost_copy_to_user()와 vhost_copy_from_user()는 결과를 __copy_to_user() 및 __copy_from_user()로 소비하는데, 이들 역시 결과를 검사하지 않으므로, 이후의 used ring 업데이트나 디스크립터 페치가 IOTLB가 실제로 매핑하는 영역 밖의 메모리에 접근하게 됩니다. vring이 재구성될 때마다 메타데이터 캐시를 재설정하여, 새 주소가 iotlb_access_ok()의 느린 경로를 통해 다시 검증되도록 하십시오.

소스

• security-researchPoC

  공개된 Linux 커널 취약점에 대한 개념 증명(Proof-of-concept) C 코드 및 분석 문서로, CVE별 익스플로잇 소스와 기술 분석을 포함합니다.