CVE-2026-89928

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: KVM: x86/mmu: Lockless rmap gəzintisində kilidlənmiş rmap dəyərindən istifadə edin __kvm_rmap_lock() boş rmap müşahidə etdikdə qəsdən rmap kilidini ötürür. Bu halda kvm_rmap_lock_readonly() həmçinin preemption-u yenidən aktivləşdirir və sıfır qaytarır, beləliklə çağıran tərəf nə rmap kilidinə, nə də preemption istinadına sahib olur. Kilidin ötürülməsi onun əsaslandığı invariantı sənədləşdirir: * Əgər rmap boşdursa, kilidi ötürün, çünki lockless gəzintilər (yalnız oxuma rejimi) boş rmap-i gəzməli deyil (və gəzə bilmir), həmçinin onlar rmap-ə yeni girişlər əlavə edə bilməzlər. Yəni, boş rmap-ləri emal edən yeganə yollar bunu yazma üçün mmu_lock tutarkən edirlər və qarşılıqlı olaraq istisna edilirlər. kvm_rmap_age_gfn_range() qaytarılan dəyəri görməzdən gəlir və şərtsiz olaraq for_each_rmap_spte_lockless() funksiyasına daxil olur. İterator rmap_get_first() ilə başlayır ki, o da kilid tərəfindən qaytarılan dəyərdən istifadə etmək əvəzinə rmap_head->val dəyərini yenidən oxuyur. Əgər yazıçı kilidin oxunması ilə iteratorun yenidən oxuması arasında rmap-i doldursa, yaşlandırma yolu (aging path) kilidi tutmadan yeni quraşdırılmış rmap-i gəzir. KVM_RMAP_MANY rmap üçün bu, gəzintinin heç vaxt kilidlənməmiş pte_list_desc zəncirini izləməsinə səbəb olur. Yazma üçün mmu_lock tutan bir yazıçı, gəzinti davam edərkən həmin zənciri (məsələn, geri dövr yolu üzərində kvm_zap_all_rmap_sptes() və ya hər hansı rmap zap vasitəsilə) kmem_cache_free() ilə azad edə bilər ki, bu da slab use-after-free xətasına yol açır. Bunları ardıcıl edən heç nə yoxdur: CONFIG_KVM_MMU_LOCKLESS_AGING=y olduqda yaşlandırma yolu mmu_lock olmadan işləyir və əks halda yazıçını istisna edəcək rmap kilidi ötürülmüşdü. Boş yol preemption-u yenidən aktivləşdirdiyi üçün iki oxuma arasındakı interval ixtiyari planlaşdırma gecikməsini əhatə edə bilər. Bu növ xətanı düzəltmək üçün lockless gəzintinin rmap-i yenidən oxumaq əvəzinə kilid tərəfindən qaytarılan dəyəri istehlak etməsini təmin edin. rmap_get_first() funksiyasını artıq oxunmuş rmap dəyərindən iteratoru başladan __rmap_get_first() funksiyasına bölün və for_each_rmap_spte_lockless()-in həmin dəyəri qəbul edib birbaşa __rmap_get_first()-i çağırmasını təmin edin. kvm_rmap_age_gfn_range() kvm_rmap_lock_readonly() tərəfindən qaytarılan dəyəri ötürür: kilid ötürüldükdə dəyər sıfırdır, __rmap_get_first() NULL qaytarır və gəzinti ötürülür. Heç bir lockless gəzinti rmap-i yenidən oxumur, buna görə də kilid-ötürmə invariantı pozula bilməz və yaşlandırma koduna cütləşdirilmiş unlock() olmadan lock() yolu əlavə edilmir.