CVE-2026-74568— CVE-2026-74568 - هسته KVM / لینوکس

در هسته لینوکس، آسیب‌پذیری زیر برطرف شده است: KVM: arm64: vgic: رفع مشکل رقابت بین انتشار LPI و ثبت مجدد آن. رفع رقابت بالقوه بین کاهش تعداد مرجع یک LPI و حذف آن ساختار از آرایه xarray LPI. ساختارهای LPI در آرایه xarray LPI VGIC (dist->lpi_xa) نگهداری می‌شوند. وقتی تعداد مرجع یک ساختار LPI به صفر می‌رسد، vgic_release_lpi_locked() ساختار را از xarray حذف کرده و آن را تحت قفل xarray آزاد می‌کند. با این حال، آزادسازی یک LPI می‌تواند با ثبت مجدد همزمان LPI با همان INTID از طریق vgic_add_lpi() در CPU دیگر رقابت کند، زیرا کاهش تعداد مرجع و حذف xarray انجام نمی‌شود. در یک مرحله‌ی اتمی. این می‌تواند اتفاق بیفتد، مثلاً اگر مهمان دستور DISCARD را صادر کند در حالی که LPI هنوز از لیست فعال-در انتظار vCPU (ap_list) ارجاع داده می‌شود، و همان INTID از طریق MAPTI دوباره نگاشت شود. به طور خاص، vgic_release_lpi_locked() از دو مسیر مجزا فراخوانی می‌شود: انتشار مستقیم از طریق vgic_put_irq() و انتشار معوق از طریق vgic_release_deleted_lpis(). در طول انتشار مستقیم، این مشکل می‌تواند منجر به حذف یک LPI تازه ثبت شده از xarray شود: CPU0 (رهاسازی LPI) CPU1 (افزودن LPI جدید) ==================== ===================== vgic_put_irq() __vgic_put_irq() refcount_dec_and_test() vgic_add_lpi() xa_lock_irqsave() old_irq = xa_load(.., intid) vgic_try_get_irq_ref(old_irq) == false IRQ جدید وارد شد --> __xa_store(.., intid, ..) xa_unlock_irqrestore() xa_lock_irqsave(); vgic_release_lpi_locked() __xa_erase(.., irq->intid) <-- اشکال: IRQ جدید پاک شده است kfree_rcu(old_irq) در طول مسیر انتشار به تعویق افتاده، IRQ قدیمی می‌تواند نشت کند: CPU0 (در حال انتشار LPI) CPU1 (در حال افزودن LPI جدید) ======================== ===================== vgic_put_irq_norelease() __vgic_put_irq() refcount_dec_and_test() irq->pending_release = true vgic_add_lpi() xa_lock_irqsave() old_irq = xa_load(.., intid) vgic_try_get_irq_ref(oldirq) == false اشکال: IRQ قدیمی رونویسی شد --> __xa_store(.., intid, ..) xa_unlock_irqrestore() vgic_release_deleted_lpis() xa_lock_irqsave() xa_for_each() { .. } <-- IRQ قدیمی با pending_release = true از بین رفته است، بنابراین نمی‌توان آن را منتشر کرد. برای رفع مشکل مسیر انتشار مستقیم، تعداد ارجاع را به داخل قفل xarray منتقل کنید و مطمئن شوید که vgic_add_lpi() هرگز با ... مواجه نمی‌شود. LPI که باید منتشر شود. در مسیر انتشار معوق، افت refcount باید تحت یک spinlock خام اتفاق بیفتد، بنابراین قفل xarray قابل گرفتن نیست و همان راه حل کار نمی‌کند. در عوض، vgic_add_lpi() را به‌روزرسانی کنید، به طوری که اگر یک LPI را از xarray خارج کند، مسئولیت آزادسازی آن را بر عهده بگیرد. در نتیجه، اکنون یک LPI می‌تواند همزمان پس از یک انتشار معوق آزاد شود. دستور release، refcount را حذف می‌کند، بنابراین دسترسی به فیلد pending_release دیگر در برابر use-after-free ایمن نیست. تمام موارد استفاده از این پرچم را حذف کنید و vgic_release_deleted_lpis() را به‌روزرسانی کنید تا LPI های یتیم را صرفاً بر اساس refcount آنها شناسایی کند.