CVE-2025-38334

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: x86/sgx: Zehirlenmiş sayfaları geri kazanma girişimlerini önleme Özetle: SGX sayfa geri kazanımı, içeriğini ikincil depolamaya kopyalamak için sayfaya erişir. SGX talimatları makine kontrollerini (machine checks) sorunsuz bir şekilde işlemez. Buna rağmen mevcut SGX kodu, zehirlendiğini bildiği sayfaları geri kazanmaya çalışacaktır. Zehirlenmiş sayfaları geri kazanmayı denemekten kaçının. Detaylı açıklama: Bir enclave tarafından kullanılan sayfaların epc_page->poison değeri yalnızca arch_memory_failure() fonksiyonunda ayarlanır ancak bu sayfalar, SGX_EPC_PAGE_RECLAIMER_TRACKED bayrağına dokunulmadan sgx_encl_release() çağrılana kadar sgx_active_page_list üzerinde kalır. Geri kazanım mantığında epc_page->poison kontrol edilmemektedir; bu da diğer koşullar karşılandığında, zehirlenmiş bir EPC sayfasını geri kazanma girişimi yapılacağı anlamına gelir. Bu durum kötüdür çünkü 1. söz konusu sayfanın başka bir enclave'e eklenmesini istemeyiz ve 2. muhtemelen bir çekirdeğin kapanmasına ve kernel paniğine yol açacaktır. Özellikle geri kazanım işlemi, EPC sayfası içeriğine erişip bunları şifreleyen ve SGX dışı belleğe yazan "EWB" dahil mikro kod operasyonlarını kullanır. Bu operasyonlar, erişimlerindeki MCE'leri, yürütme yapan çekirdeği özel bir kapatma durumuna sokmaktan (HT ile her iki iş parçacığını etkileyerek) başka bir şekilde yönetemez. Kernel, çekirdeğin zamanında MCE işlemcisine girmediğini görünce kalan çekirdeklerde panikleyecektir. Bellek hatası oluştuğunda, etkilenen EPC sayfasının geri kazanım için değerlendirilmesini durdurmak amacıyla onu sgx_active_page_list üzerinden kaldırmak için sgx_unmark_page_reclaimable() fonksiyonunu çağırın. sgx_reclaim_pages() içinde epc_page->poison değerinin test edilmesi de işe yarardı ancak daha az olasılıklı yollara kod eklemenin daha iyi olduğunu varsayıyorum. Etkilenen EPC sayfası, sgx_encl_release()->sgx_free_epc_page() aşamasında EREMOVE edildiğinde &node->sgx_poison_page_list listesine eklenir. Diğer listelerin semantiğini değiştirmemek için sgx_active_page_list dışındaki liste üyelikleri değiştirilmemiştir. arch_memory_failure() içerisinde önleyici eylemler hakkında bir "TBD" yorumu bulunmaktadır; buradaki amaç bunun ima edebileceği her şeyi çözmek değildir. Bu işlem ayrıca, bir bellek hatası bildiriminin ölümcül olacağı zaman penceresini (daha önce zehirlenmemiş bir EPC sayfası için) tamamen kapatmaz; MCE, sgx_reclaim_pages() adaylarını seçtikten sonra veya hatta bir mikro kod operasyonu sırasında (harcanan süre nedeniyle tetiklenmesi kolaydır) meydana gelebilir. sgx_unmark_page_reclaimable() içindeki spinlock güvenlidir çünkü mm/memory-failure.c içerisindeki bir yorumda açıkça belirtildiği üzere memory_failure() süreç bağlamında çalışır ve herhangi bir spinlock tutulmaz.