CVE-2026-67846：BOOM NBDTLB 中的错误特权分配

CVE ID

CVE-2026-67846

概述

Berkeley Out-of-Order Machine (BOOM) 提交 5223e44cfeb26f41380057a2eb4d651197475f69 在 v3 和 v4 NBDTLB 实现中包含一个潜在的错误特权分配问题。

原始的 mstatus.SUM 值参与读写权限逻辑，但在使用位置没有对 satp.MODE 进行显式的局部有效性检查。

受影响产品

Berkeley Out-of-Order Machine (BOOM)

受影响版本

BOOM 提交：

5223e44cfeb26f41380057a2eb4d651197475f69

受影响的实现：

• BOOM v3 NBDTLB
• BOOM v4 NBDTLB

受影响组件

• src/main/scala/v3/lsu/tlb.scala
• src/main/scala/v4/lsu/tlb.scala

漏洞类型

访问控制不当

攻击类型

本地

安全影响

潜在影响包括：

• 权限提升
• 信息泄露

攻击条件

本地攻击者必须能够触发一条特权软件、固件、异常返回或状态转换路径，使在 satp.MODE=0 时产生 mstatus.SUM=1。

普通的非特权代码不能直接写入 mstatus。

技术描述

在受影响的 BOOM v3/v4 NBDTLB 实现中，mstatus.SUM 的原始值参与读写权限逻辑。

在相关使用位置，在消耗与 SUM 相关的权限状态之前，没有对 satp.MODE 进行显式的局部验证。

在 mstatus.SUM=1 且 satp.MODE=0 的状态下，此行为可能导致内存访问权限处理中的错误特权分配。

参考

BOOM 项目：

https://github.com/riscv-boom/riscv-boom

受影响的 BOOM 提交：

https://github.com/riscv-boom/riscv-boom/commit/5223e44cfeb26f41380057a2eb4d651197475f69

Chipyard：

https://github.com/ucb-bar/chipyard

ProcessorFuzz：

https://github.com/bu-icsg/ProcessorFuzz

RISC-V ISA 手册：

https://github.com/riscv/riscv-isa-manual/releases

相关 RISC-V 漏洞参考：

https://www.cve.org/CVERecord?id=CVE-2025-45006

发现者

Duan Xuemei