CVE-2026-31397

NONE EPSS 0.02%
Обновлено 7 апреля 2026
Linux
Параметр Значение
Поставщик Linux
Публичный эксплойт Нет

В ядре Linux устранена следующая уязвимость: mm/huge_memory: исправлено использование фолио NULL в move_pages_huge_pmd(). move_pages_huge_pmd() обрабатывает UFFDIO_MOVE как для обычных THP, так и для огромных ноль страниц. Для огромного пути к нулевой странице для src_folio явно установлено значение NULL и используется в качестве индикатора для пропуска операций с фолио, таких как блокировка и рмап. В огромной ветке с нулевой страницей src_folio имеет значение NULL, поэтому folio_mk_pmd(NULL, pgprot) передает NULL через folio_pfn() и page_to_pfn().

С SPARSEMEM_VMEMMAP это молча создает фиктивный PFN, устанавливая PMD указывая на несуществующую физическую память. На других моделях памяти это НУЛЕВОЕ разыменование. Используйте page_folio(src_page), чтобы получить действительный огромный нулевой фолио из page, которая была получена из pmd_page() и остается действительной на протяжении всего времени.

После фиксации d82d09e48219 ("mm/huge_memory: отметьте PMD-отображения огромного специальный нулевой фолио»), перемещенные огромные нулевые PMD должны оставаться особенными, поэтому vm_normal_page_pmd() продолжает рассматривать их как специальные сопоставления. move_pages_huge_pmd() в настоящее время восстанавливает PMD назначения в огромная ветка с нулевой страницей, которая удаляет состояние PMD, такое как pmd_special(), на архитектуры с CONFIG_ARCH_HAS_PTE_SPECIAL. В результате vm_normal_page_pmd() может обрабатывать перемещенный огромный нулевой PMD как обычную страницу. и испортить его рефсчет. Вместо восстановления PMD по фолио определите пункт назначения. запись из src_pmdval после pmdp_huge_clear_flush(), затем обработайте PMD метаданные так же, как move_huge_pmd() делает для перемещенных записей, отмечая их soft-dirty и очищающий uffd-wp.

Показать оригинальное описание (EN)

In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: fix use of NULL folio in move_pages_huge_pmd() move_pages_huge_pmd() handles UFFDIO_MOVE for both normal THPs and huge zero pages. For the huge zero page path, src_folio is explicitly set to NULL, and is used as a sentinel to skip folio operations like lock and rmap. In the huge zero page branch, src_folio is NULL, so folio_mk_pmd(NULL, pgprot) passes NULL through folio_pfn() and page_to_pfn(). With SPARSEMEM_VMEMMAP this silently produces a bogus PFN, installing a PMD pointing to non-existent physical memory. On other memory models it is a NULL dereference. Use page_folio(src_page) to obtain the valid huge zero folio from the page, which was obtained from pmd_page() and remains valid throughout. After commit d82d09e48219 ("mm/huge_memory: mark PMD mappings of the huge zero folio special"), moved huge zero PMDs must remain special so vm_normal_page_pmd() continues to treat them as special mappings. move_pages_huge_pmd() currently reconstructs the destination PMD in the huge zero page branch, which drops PMD state such as pmd_special() on architectures with CONFIG_ARCH_HAS_PTE_SPECIAL. As a result, vm_normal_page_pmd() can treat the moved huge zero PMD as a normal page and corrupt its refcount. Instead of reconstructing the PMD from the folio, derive the destination entry from src_pmdval after pmdp_huge_clear_flush(), then handle the PMD metadata the same way move_huge_pmd() does for moved entries by marking it soft-dirty and clearing uffd-wp.