CVE-2026-19574

ARM64 MMU back-end-i arch_mem_domain_init() (arch/arm64/core/mmu.c) funksiyasında yaddaş domenləri üçün ünvan sahəsi identifikatorlarını (ASID-lərini) sadə bir round-robin sayğacı ilə təyin edirdi. VM_ASID_BITS 8 olduğu üçün yalnız 255 ASID mövcuddur; sayğac dövr etdikdə, arch_mem_domain_init() hələ də aktiv olan bir domen eyni ASID-ni saxlayarkən yeni domenə həmin ASID-ni təyin edə bilirdi. Domenə məxsus xüsusi xəritələr qeyri-qlobal (MT_NG) olaraq quraşdırılır, buna görə də TLB-də bir domenin keşlənmiş tərcümələrini digərindən ayıran yeganə etiket ASID-dir. z_arm64_swap_ptables() funksiyasındakı kontekst dəyişmə yolu TLB-ni yalnız çıxan və daxil olan domenlər eyni ASID-ni daşıdıqda təmizləyir ki, bu da üçüncü domen vasitəsilə əldə edilən dublikatı əhatə etmir: ASID-ni paylaşan A və C domenləri və onlarla əlaqəsi olmayan B domeni olduqda, A -> B -> C cədvəli heç vaxt təmizləmə budağına girmir, beləliklə, C işləyərkən A tərəfindən doldurulmuş ASID-etiketli girişlər qalır. SMP altında, eyni ASID-ni paylaşan iki aktiv domen əlavə olaraq eyni anda iki CPU-da ola bilər ki, arxitektura fərqli tərcümə cədvəlləri dəstləri üçün buna icazə vermir. Dövrün tetiklənməsi üçün ARM64 üzərində ömrü boyunca 255-dən çox yaddaş domeni yaradan CONFIG_USERSPACE tətbiqi tələb olunur; k_mem_domain_init() və k_mem_domain_deinit() yalnız supervayzer səviyyəli API-lardır və sistem çağırışları kimi təqdim edilmir, buna görə də imtiyazsız bir axın (thread) sayğacı birbaşa idarə edə bilməz. Lakin iki aktiv domen alias olduqda, bir domendəki istifadəçi rejimi axını digər domenin bölmələrinə və axın steklərinə aid yaddaşı həmin domenin icazələri ilə oxuya və yaza bilər ki, bu da yaddaş domeni izolyasiya sərhədini pozur. Həll yolu, ASID təyin etməzdən əvvəl aktiv domain_list siyahısını skan edir, round-robin sayğacını artıq istifadədə olan ASID-lərdən irəli sürüşdürür və hamısı tutulduqda -ENOMEM qaytarır, beləliklə, domen yaratma prosesi səssiz şəkildə alias yaratmaq əvəzinə uğursuzluqla başa çatır.