В ядре Linux устранена следующая уязвимость:
KVM: nVMX: перенесите проверку согласованности vTPR и TPR Threshold в «обычные» проверки. Переместите проверку согласованности, отключенную по умолчанию, для vmcs12.tpr_threshold вместо vmcs12.tpr_threshold.
виртуальный APIC vTPR в «нормальные» средства управления проверяет, ожидая, пока
KVM загрузил некоторое количество состояний, которые не нужны и активно опасны. В частности, невозможность развернуть vmcs01.GUEST_CR3 до значения KVM при EPT.
отключено, что приводит к тому, что KVM запускает L1 с CR3, управляемым L1, а не с
KVM CR3!
Альтернативно, KVM может просто сбросить MMU, чтобы принудительно перезагрузить
vmcs01.GUEST_CR3, но _единственная_ причина, по которой чек засунули в "поздний"
поток должен был дождаться получения страниц vmcs12.
Вместо того, чтобы строить
Чтобы получить более сложный код, просто получите доступ к vTPR, используя обычный доступ к гостевой памяти.
(производительность не имеет значения). Чтобы обойти ограничения, которые привели к
KVM откладывает вложенную_get_vmcs12_pages(), (а) использовать API в области виртуальной машины для чтения
гостевую память, чтобы она всегда попадала в слоты памяти, не относящиеся к SMM (для RSM), и (b)
пропустить проверку (поскольку она все равно отключена по умолчанию), когда виртуальный ЦП не
хотите запустить, т. е. когда пользовательское пространство восстанавливает/заполняет состояние. Если чтение гостевой памяти не удалось, просто пропустите проверку целостности, поскольку KVM
де-факто ABI заключается в том, что инструкции VMX получают доступ к несуществующей памяти.
Семантика ошибок шины PCI, где операции чтения возвращают 0xFF. А если vTPR=0xFF, то
vTPR гарантированно будет больше или равен TPR_THRESHOLD.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: KVM: nVMX: Move vTPR vs. TPR Threshold consistency check into "normal" checks Move the off-by-default consistency check for vmcs12.tpr_threshold vs. the virtual APIC vTPR into the "normal" controls checks, as waiting until KVM has loaded some amount of state is unnecessary and actively dangerous. Specifically, failure to unwind vmcs01.GUEST_CR3 to KVM's value when EPT is disabled results in KVM running L1 with an L1-controlled CR3, not with KVM's CR3! Alternatively, KVM could simply reset the MMU to force a reload of vmcs01.GUEST_CR3, but the _only_ reason the check was shoved into a "late" flow was to wait until the vmcs12 pages were retrieved. Rather than build up more crusty code, simply access vTPR using a regular guest memory access (performance isn't a concern). To circumvent the restrictions that led to KVM deferring nested_get_vmcs12_pages(), (a) use a VM-scoped API to read guest memory so that it always hits non-SMM memslots (for RSM), and (b) skip the check (since its off-by-default anyways) when the vCPU doesn't want to run, i.e. when userspace is restoring/stuffing state. If reading guest memory fails, simply skip the consistency check, as KVM's de facto ABI is that VMX instruction accesses to non-existent memory get PCI Bus Error semantics, where reads return 0xFFs. And if vTPR=0xFF, then the vTPR is guaranteed to be greater than or equal to TPR_THRESHOLD.
Характеристики атаки
Последствия
Строка CVSS v3.1