CVE-2026-53109

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: powerpc/pgtable-frag: pte_frag_destroy fonksiyonundaki hatalı sayfa durumu düzeltildi powerpc, pte ve pmd sayfa tablosu fragmanlarını takip etmek için bir referans sayacı olarak pt_frag_refcount kullanır. PTE tablosu için, 64K sayfa boyutuna sahip Hash durumunda, tek bir 64K sayfada 4K boyutunda 16 fragman bulunur. "mm: free retracted page table by RCU" [1] yama serisi, shmem aralığında madvise MADV_COLLAPSE için retract_page_tables() çağrıldığında PTE tablolarının serbest bırakılmasını ertelemek amacıyla pte_free_defer() fonksiyonunu eklemiştir. [1]: https://lore.kernel.org/all/[email protected]/ pte_free_defer(), ilgili fragmanın folio'su üzerindeki active bayrağını ayarlar ve pt_frag_refcount değerini azaltan pte_fragment_free() fonksiyonunu çağırır. pt_frag_refcount 0'a ulaştığında (folio'yu kullanan aktif fragman kalmadığında), folio active bayrağının ayarlanıp ayarlanmadığını kontrol eder; eğer ayarlanmışsa folio'yu serbest bırakmak için call_rcu'yu çağırır, ayarlanmamışsa pte_free_now()'u çağırır. Bu durum, uç bir örnekte şu soruna yol açabilir... [ 265.351553][ T183] BUG: Bad page state in process a.out pfn:20d62 [ 265.353555][ T183] page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x20d62 [ 265.355457][ T183] flags: 0x3ffff800000100(active|node=0|zone=0|lastcpupid=0x7ffff) [ 265.358719][ T183] raw: 003ffff800000100 0000000000000000 5deadbeef0000122 0000000000000000 [ 265.360177][ T183] raw: 0000000000000000 c0000000119caf58 00000000ffffffff 0000000000000000 [ 265.361438][ T183] page dumped because: PAGE_FLAGS_CHECK_AT_FREE flag(s) set [ 265.362572][ T183] Modules linked in: [ 265.364622][ T183] CPU: 0 UID: 0 PID: 183 Comm: a.out Not tainted 6.18.0-rc3-00141-g1ddeaaace7ff-dirty #53 VOLUNTARY [ 265.364785][ T183] Hardware name: IBM pSeries (emulated by qemu) POWER10 (architected) 0x801200 0xf000006 of:SLOF,git-ee03ae pSeries [ 265.364908][ T183] Call Trace: [ 265.364955][ T183] [c000000011e6f7c0] [c000000001cfaa18] dump_stack_lvl+0x130/0x148 (unreliable) [ 265.365202][ T183] [c000000011e6f7f0] [c000000000794758] bad_page+0xb4/0x1c8 [ 265.365384][ T183] [c000000011e6f890] [c00000000079c020] __free_frozen_pages+0x838/0xd08 [ 265.365554][ T183] [c000000011e6f980] [c0000000000a70ac] pte_frag_destroy+0x298/0x310 [ 265.365729][ T183] [c000000011e6fa30] [c0000000000aa764] arch_exit_mmap+0x34/0x218 [ 265.365912][ T183] [c000000011e6fa80] [c000000000751698] exit_mmap+0xb8/0x820 [ 265.366080][ T183] [c000000011e6fc30] [c0000000001b1258] __mmput+0x98/0x300 [ 265.366244][ T183] [c000000011e6fc80] [c0000000001c81f8] do_exit+0x470/0x1508 [ 265.366421][ T183] [c000000011e6fd70] [c0000000001c95e4] do_group_exit+0x88/0x148 [ 265.366602][ T183] [c000000011e6fdc0] [c0000000001c96ec] pid_child_should_wake+0x0/0x178 [ 265.366780][ T183] [c000000011e6fdf0] [c00000000003a270] system_call_exception+0x1b0/0x4e0 [ 265.366958][ T183] [c000000011e6fe50] [c00000000000d05c] system_call_vectored_common+0x15c/0x2ec Hatalı sayfa durumu hatası, böyle bir folio'nun paralel olarak do_exit() yolu üzerinden (active bayrağı ayarlanmış haldeyken) serbest bırakılmasıyla meydana gelir. ... bu durum, pte fragmanı bu folio'dan tahsis edildiğinde ancak tüm fragmanlar serbest bırakıldığında pte_frag_refcount hala bazı kullanılmayan fragmanlara sahip olduğunda gerçekleşebilir. Eğer bu işlem, mm->context içinde önbelleğe alınmış pte_frag olarak böyle bir folio ile sonlanırsa, pte_frag_destroy() sırasında sadece pagetable_dtor() ve pagetable_free() çağrılır, yani active bayrağı temizlenmez. Bu da yukarıdaki hataya yol açabilir. Zaten do_exit() yolunda olduğumuz için, refcount 0 ise pagetable_dtor() ve pagetable_free() çağırmadan önce folio active bayrağının basitçe temizlenmesinin uygun olacağı değerlendirilmektedir.