CVE-2026-97533

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: x86/mm/pat: UAF'yi önlemek için öznitelik değişikliklerinde init_mm okuma kilidi alınır Önceki bir commit, ptdump ile CPA collapse arasındaki yarış durumlarına karşı koruma sağlamıştı; ancak Denis V. Lunev tarafından bildirildiği üzere, öznitelik değişiklikleri ve collapse arasında hala bir yarış durumu mevcuttur. Bir öznitelik değişikliği meydana geldiğinde, kilitsiz bir sayfa tablosu gezgini (page table walker), daha sonra set_pte_atomic() aracılığıyla üzerine yazılan bir PTE girdisi elde eder: ... -> change_page_attr_set_clr() -> __change_page_attr_set_clr() -> __change_page_attr() -> _lookup_address_cpa() -> lookup_address_in_pgd_attr() -> [ kilitsiz sayfa tablosu gezgini ] -> set_pte_atomic() Burada alınan PTE'nin serbest bırakılmasına neden olabilecek eşzamanlı bir CPA collapse işlemini engelleyen hiçbir şey yoktur ve bu durum bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. CPA collapse sırasında init_mm üzerinde mmap yazma kilidinin alınmasıyla birlikte, __change_page_attr_set_clr() üzerinden init_mm üzerinde bir mmap okuma kilidi alınarak bu yarış durumu çözülür. Bu işlem, gezinti ve PTE girdisi yazımının gerçekleştiği tüm operasyon boyunca kilitleme sağlayarak yarış durumunu çözer. __change_page_attr_set_clr() girişinde herhangi bir spinlock tutulmadığından bunu burada yapmak güvenlidir. Ancak kilit, bir tahsis (allocation) işlemi sırasında tutulmamalıdır; çünkü tahsis işlemi geri kazanımı (reclaim) tetikleyebilir ve shrinker'lar CPA'yı özyinelemeli olarak çağırabilir, bu da deadlock olasılığını doğurur (init_mm -> ... -> fs_reclaim -> init_mm). Büyük bir sayfanın bölünmesi gerektiğinde bir sayfa tablosu tahsis edilir: -> change_page_attr_set_clr() -> __change_page_attr_set_clr() -> __change_page_attr() -> split_large_page() [ pagetable_alloc() ] -> __split_large_page() split_large_page() içerisindeki pagetable_alloc() sırasında mmap kilidi bırakılarak deadlock'lardan kaçınılır ve bunun gerekli olup olmadığı struct cpa_data yapısına yeni bir 'init_mm_read_locked' bayrağı eklenerek takip edilir. Kilitler yeniden kurulduktan sonra çağrılan __split_large_page(), sayfa tablosu girdisinin kilitlerin bırakılmasından öncekiyle aynı olduğunu yeniden doğruladığı ve __split_large_page() her bölünme gerçekleştiğinde tüm sayfa tablosu gezintisini tekrarladığı için bu işlem güvenlidir; böylece eşzamanlı bölünme ve collapse durumları hesaba katılmış olur. Eşzamanlı ptdump işlemi de güvenlidir çünkü kilit yalnızca sayfa tablosunun henüz değiştirilmediği sayfa tablosu tahsisi sırasında bırakılır. CPA_COLLAPSE bayrağı yalnızca münhasıran vmalloc aralıklarında ve x86'da sadece modül eşleme alanı içinde çalışan set_memory_rox() tarafından ayarlanır. Bu önemlidir çünkü bazı çağırıcılar bu kilidi atlayarak doğrudan __change_page_attr_set_clr() fonksiyonunu çağırır. Ancak bunlardan hiçbiri modül eşleme alanı içinde çalışmaz: * cpa_process_alias() - __change_page_attr_set_clr() tarafından çağrılan özyinelemeli bir yardımcı fonksiyondur. * __set_memory_enc_pgtable() - doğrudan eşleme ve (__vmbus_establish_gpadl() aracılığıyla) vmalloc eşleme alanı üzerinde çalışır. * __set_pages_[n]p() - set_direct_map_[invalid, default, valid]_noflush(), __kernel_map_pages() tarafından çağrılır - doğrudan eşleme üzerinde çalışır. * kernel_[un]map_pages_in_pgd() - EFI aralıkları üzerinde çalışır. Bu çalışma, Denis V. Lunev'in hata üzerindeki mükemmel analizine dayanmaktadır.