CVE-2026-23107

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: arm64/fpsimd: signal: ZA geri yüklenirken SSVE depolaması tahsis et ZA bağlamını geri yükleme kodu, TIF_SME ayarlanmadan önce görevin sve_state yapısını tahsis etmeye çalışmamaktadır. Sonuç olarak, bir ZA bağlamının geri yüklenmesi, TIF_SME'nin ayarlı olduğu ancak görevin sve_state değerinin NULL olduğu geçersiz bir duruma yol açabilmektedir. ZA sinyal bağlamının aynı görev kapsamında çekirdek tarafından OLUŞTURULMADIĞI meşru ancak nadir görülen durumlarda (örneğin, görevin CRIU gibi bir araçla kaydedilip geri yüklenmesi durumunda), sve_state'in daha önceden tahsis edildiğine dair bir garanti yoktur. Bu durumlarda kullanıcı alanı, sve_state NULL iken herhangi bir tuzaklama (trap) olmadan akış moduna (streaming mode) girebilir ve bu durum, çekirdek yazmaç durumunu kaydetmeye çalıştığında daha sonra bir NULL pointer dereference hatasına neden olur: | # ./sigreturn-za | Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 | Mem abort info: | ESR = 0x0000000096000046 | EC = 0x25: DABT (current EL), IL = 32 bits | SET = 0, FnV = 0 | EA = 0, S1PTW = 0 | FSC = 0x06: level 2 translation fault | Data abort info: | ISV = 0, ISS = 0x00000046, ISS2 = 0x00000000 | CM = 0, WnR = 1, TnD = 0, TagAccess = 0 | GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 | user pgtable: 4k pages, 52-bit VAs, pgdp=0000000101f47c00 | [0000000000000000] pgd=08000001021d8403, p4d=0800000102274403, pud=0800000102275403, pmd=0000000000000000 | Internal error: Oops: 0000000096000046 [#1] SMP | Modules linked in: | CPU: 0 UID: 0 PID: 153 Comm: sigreturn-za Not tainted 6.19.0-rc1 #1 PREEMPT | Hardware name: linux,dummy-virt (DT) | pstate: 214000c9 (nzCv daIF +PAN -UAO -TCO +DIT -SSBS BTYPE=--) | pc : sve_save_state+0x4/0xf0 | lr : fpsimd_save_user_state+0xb0/0x1c0 | sp : ffff80008070bcc0 | x29: ffff80008070bcc0 x28: fff00000c1ca4c40 x27: 63cfa172fb5cf658 | x26: fff00000c1ca5228 x25: 0000000000000000 x24: 0000000000000000 | x23: 0000000000000000 x22: fff00000c1ca4c40 x21: fff00000c1ca4c40 | x20: 0000000000000020 x19: fff0000ff6900f0 x18: 0000000000000000 | x17: fff05e8e0311f000 x16: 0000000000000000 x15: 028fca8f3bdaf21c | x14: 0000000000000212 x13: fff00000c0209f10 x12: 0000000000000020 | x11: 0000000000200b20 x10: 0000000000000000 x9 : fff00000ff69dcc0 | x8 : 00000000000003f2 x7 : 0000000000000001 x6 : fff00000c1ca5b48 | x5 : fff05e8e0311f000 x4 : 0000000008000000 x3 : 0000000000000000 | x2 : 0000000000000001 x1 : fff00000c1ca5970 x0 : 0000000000000440 | Call trace: | sve_save_state+0x4/0xf0 (P) | fpsimd_thread_switch+0x48/0x198 | __switch_to+0x20/0x1c0 | __schedule+0x36c/0xce0 | schedule+0x34/0x11c | exit_to_user_mode_loop+0x124/0x188 | el0_interrupt+0xc8/0xd8 | __el0_irq_handler_common+0x18/0x24 | el0t_64_irq_handler+0x10/0x1c | el0t_64_irq+0x198/0x19c | Code: 54000040 d51b4408 d65f03c0 d503245f (e5bb5800) | ---[ end trace 0000000000000000 ]--- Bu sorun, SME tuzağı alındığında yapılan işleme paralel olarak, restore_za_context() fonksiyonunun görevin sve_state yapısının tahsis edildiğinden emin olmasıyla düzeltilmiştir. Ayrı bir sinyal bağlamından daha önce geri yüklenen mevcut tüm SVE/SSVE durumları korunmalı ve bu nedenle sıfırlanmamalıdır.