CVE-2026-53359

Резюме

В ядре Linux устранена следующая уязвимость: KVM: x86: Fix shadow paging use-after-free due to unexpected role. Коммит `0cb2af2ea66ad` («KVM: x86: Fix shadow paging use-after-free due to unexpected GFN») исправил несоответствие теневого пейджинга между сохранёнными и вычисленными GFN; ошибку можно было вызвать изменением отображения PDE извне гостевой системы с последующим удалением memslot. При этом вызов rmap_remove() пропускал записи, созданные после изменения PDE, поскольку GFN листового SPTE не совпадает с GFN структуры struct kvm_mmu_page. Однако аналогичная брешь остаётся, если изменённый PDE указывает на нелистовую страницу. В этом случае gfn можно привести в соответствие, но роль (role) не совпадает: исходная большая страница 2 МБ создаёт kvm_mmu_page с direct=1, тогда как новая страница 4 КБ требует kvm_mmu_page с direct=0. При этом kvm_mmu_get_child_sp() не сравнивает роль и поэтому переиспользует страницу. Следующий шаг — установка листового SPTE (4 КБ) на новом пути, при которой под gfn, определённым при обходе (walk), записывается запись rmap. Но когда этот дочерний элемент удаляется (zap), его родительский kvm_mmu_page имеет direct=1, и kvm_mmu_page_get_gfn() вычисляет gfn для страницы 4 КБ как sp->gfn + index, а не через sp->shadowed_translation[] (или sp->gfns[] в старых ядрах). Поэтому удалить записанную запись не удаётся. Когда memslot удаляется, теневая страница освобождается, но запись rmap сохраняется — как и в уже исправленном сценарии. Код, который впоследствии обходит этот gfn (журналирование грязных страниц, инвалидация через MMU notifier и т.д.), разыменовывает sptep, находящийся в освобождённой странице, что приводит к use-after-free.

• CVE-2026-53359Информационный

  CVE-2026-53359