CVE-2026-53359

Resumo

No kernel Linux, a seguinte vulnerabilidade foi corrigida: KVM: x86: Corrige use-after-free na paginação de sombra devido a um role inesperado O commit 0cb2af2ea66ad ("KVM: x86: Corrige use-after-free na paginação de sombra devido a uma GFN inesperada") corrigiu uma incompatibilidade na paginação de sombra entre GFNs armazenadas e computadas; o bug podia ser acionado alterando um mapeamento de PDE de fora do guest e, em seguida, excluindo um memslot. A chamada rmap_remove() deixava de encontrar entradas criadas após a alteração da PDE porque a GFN do SPTE folha não corresponde à GFN da struct kvm_mmu_page. Uma brecha semelhante, no entanto, permanece se a PDE modificada apontar para uma página não folha. Nesse caso, é possível fazer a gfn corresponder, mas o role não corresponde: a página grande original de 2MB cria uma kvm_mmu_page com direct=1, enquanto a nova página de 4KB precisa de uma kvm_mmu_page com direct=0. No entanto, kvm_mmu_get_child_sp() não compara o role e, portanto, reutiliza a página. O próximo passo é instalar um SPTE folha (4KB) no novo caminho, que registra uma entrada rmap sob a gfn resolvida pelo walk. Mas, quando esse filho é removido, seu pai kvm_mmu_page tem direct=1 e kvm_mmu_page_get_gfn() calcula a gfn para a página de 4KB como sp->gfn + index em vez de usar sp->shadowed_translation[] (ou sp->gfns[] em kernels mais antigos). Portanto, ele falha ao remover a entrada registrada. Quando o memslot é descartado, a página de sombra é liberada, mas a entrada rmap sobrevive, como no cenário que já havia sido corrigido. Código que posteriormente percorre essa gfn (dirty logging, invalidação do notificador MMU e assim por diante) desreferencia um sptep que se encontra na página liberada, causando o use-after-free.

• CVE-2026-53359Informativo

  CVE-2026-53359