В ядре Linux устранена следующая уязвимость:
perf/x86: переместить настройку указателя событий ранее в x86_pmu_enable(). Производственная система AMD EPYC вышла из строя из-за разыменования нулевого указателя.
в обработчике PMU NMI:
ОШИБКА: разыменование нулевого указателя ядра, адрес: 0000000000000198. RIP: x86_perf_event_update+0xc/0xa0
Отслеживание вызова:
<НМИ>
amd_pmu_v2_handle_irq+0x1a6/0x390
perf_event_nmi_handler+0x24/0x40
Ошибка — инструкция `cmpq $0x0, 0x198(%rdi)` с RDI=0,
соответствующий проверке `if (unlikely(!hwc->event_base))`
x86_perf_event_update(), где hwc = &event->hw и событие имеет значение NULL.
Drgn-инспекция vmcore на процессоре 106 показала несоответствие между
cpuc->active_mask и cpuc->events[]:
active_mask: 0x1e (биты 1, 2, 3, 4)
события[1]: 0xff1100136cbd4f38 (действительно)
события[2]: 0x0 (NULL, но установлен бит 2 active_mask)
события[3]: 0xff1100076fd2cf38 (действительно)
события[4]: 0xff1100079e990a90 (действительно)
Событие, которое должно занимать события[2], найдено в event_list[2]
с hw.idx=2 и hw.state=0x0, подтверждающее запуск x86_pmu_start()
(который очищает hw.state и устанавливает active_mask), но события [2] были
никогда не был заселен. Другое событие (event_list[0]) имело hw.state=0x7 (STOPPED|UPTODATE|ARCH),
показывая, что оно было остановлено, когда ГУП перенес мероприятия, подтверждая
произошла последовательность «дроссель-затем-перепланирование». Основная причина — коммит 7e772a93eb61 («perf/x86: исправить доступ к событию NULL».
и потенциальная потеря записи PEBS"), что переместило cpuc->events[idx]
назначение из x86_pmu_start() и на шаге 2 x86_pmu_enable(),
после проверки PERF_HES_ARCH.
Это сломало любой путь, который вызывает
pmu->start() без использования x86_pmu_enable() - в частности
Путь разблокировки:
perf_adjust_freq_unthr_events()
-> perf_event_unthrottle_group()
-> perf_event_unthrottle()
-> событие->pmu->start(событие, 0)
-> x86_pmu_start() // устанавливает активную маску, но не события[]
Последовательность гонок следующая:
1. Группа событий производительности переполняется, что приводит к срабатыванию группового регулирования через
perf_event_throttle_group(). Все события остановлены: active_mask
биты очищены, события [] сохранены (x86_pmu_stop больше не очищает
события[] после фиксации 7e772a93eb61).
2.
Пока все еще регулируется (PERF_HES_STOPPED), выполняется x86_pmu_enable().
из-за другой плановой деятельности. Остановленные события, которые необходимо
счетчики перемещений получают установку PERF_HES_ARCH и события [old_idx] очищаются. На шаге 2 функции x86_pmu_enable() PERF_HES_ARCH вызывает эти события.
следует пропустить — события [new_idx] никогда не устанавливаются.
3.
Таймер таймера разблокирует группу через pmu->start(). Поскольку
commit 7e772a93eb61 удалил назначение event[] из
x86_pmu_start(), активная_маска[new_idx] установлена, но события[new_idx]
остается НУЛЕВЫМ.
4. Срабатывает переполнение PMC NMI.
Обработчик перебирает активные счетчики,
находит набор active_mask[2], считывает события[2], которые имеют значение NULL, и
происходит сбой при разыменовании его. Переместите назначение cpuc->events[hwc->idx] в x86_pmu_enable() в
перед проверкой PERF_HES_ARCH, чтобы события [] заполнялись даже
для событий, которые не начались немедленно. Это обеспечивает
путь unthrottle через pmu->start() всегда находит действительный указатель события.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: perf/x86: Move event pointer setup earlier in x86_pmu_enable() A production AMD EPYC system crashed with a NULL pointer dereference in the PMU NMI handler: BUG: kernel NULL pointer dereference, address: 0000000000000198 RIP: x86_perf_event_update+0xc/0xa0 Call Trace: <NMI> amd_pmu_v2_handle_irq+0x1a6/0x390 perf_event_nmi_handler+0x24/0x40 The faulting instruction is `cmpq $0x0, 0x198(%rdi)` with RDI=0, corresponding to the `if (unlikely(!hwc->event_base))` check in x86_perf_event_update() where hwc = &event->hw and event is NULL. drgn inspection of the vmcore on CPU 106 showed a mismatch between cpuc->active_mask and cpuc->events[]: active_mask: 0x1e (bits 1, 2, 3, 4) events[1]: 0xff1100136cbd4f38 (valid) events[2]: 0x0 (NULL, but active_mask bit 2 set) events[3]: 0xff1100076fd2cf38 (valid) events[4]: 0xff1100079e990a90 (valid) The event that should occupy events[2] was found in event_list[2] with hw.idx=2 and hw.state=0x0, confirming x86_pmu_start() had run (which clears hw.state and sets active_mask) but events[2] was never populated. Another event (event_list[0]) had hw.state=0x7 (STOPPED|UPTODATE|ARCH), showing it was stopped when the PMU rescheduled events, confirming the throttle-then-reschedule sequence occurred. The root cause is commit 7e772a93eb61 ("perf/x86: Fix NULL event access and potential PEBS record loss") which moved the cpuc->events[idx] assignment out of x86_pmu_start() and into step 2 of x86_pmu_enable(), after the PERF_HES_ARCH check. This broke any path that calls pmu->start() without going through x86_pmu_enable() -- specifically the unthrottle path: perf_adjust_freq_unthr_events() -> perf_event_unthrottle_group() -> perf_event_unthrottle() -> event->pmu->start(event, 0) -> x86_pmu_start() // sets active_mask but not events[] The race sequence is: 1. A group of perf events overflows, triggering group throttle via perf_event_throttle_group(). All events are stopped: active_mask bits cleared, events[] preserved (x86_pmu_stop no longer clears events[] after commit 7e772a93eb61). 2. While still throttled (PERF_HES_STOPPED), x86_pmu_enable() runs due to other scheduling activity. Stopped events that need to move counters get PERF_HES_ARCH set and events[old_idx] cleared. In step 2 of x86_pmu_enable(), PERF_HES_ARCH causes these events to be skipped -- events[new_idx] is never set. 3. The timer tick unthrottles the group via pmu->start(). Since commit 7e772a93eb61 removed the events[] assignment from x86_pmu_start(), active_mask[new_idx] is set but events[new_idx] remains NULL. 4. A PMC overflow NMI fires. The handler iterates active counters, finds active_mask[2] set, reads events[2] which is NULL, and crashes dereferencing it. Move the cpuc->events[hwc->idx] assignment in x86_pmu_enable() to before the PERF_HES_ARCH check, so that events[] is populated even for events that are not immediately started. This ensures the unthrottle path via pmu->start() always finds a valid event pointer.