В ядре Linux устранена следующая уязвимость:
KVM: s390: инициализировать память KVM_S390_GET_CMMA_BITS
kvm_s390_get_cmma_bits() выделяет свой выходной буфер с помощью vmalloc(),
который не обнуляет возвращаемые страницы:
значения = vmalloc(args->count);
В пути без просмотра (миграции) dat_get_cmma() сообщает количество байтов.
от первой до последней грязной страницы, но __dat_get_cmma_pte()
записывает значения [gfn - start] только для страниц, у которых установлен грязный бит CMMA. В обходе используется DAT_WALK_IGN_HOLES, поэтому чистые и несопоставленные страницы лежат
между двумя грязными страницами в пределах отчетного интервала посещаются, но никогда
сохранить свой байт. Эти пробелы (до страниц KVM_S390_MAX_BIT_DISTANCE
каждый) остаются неинициализированными, но попадают в [0, count) и копируются
с помощью copy_to_user(), раскрывая устаревшую память ядра в пространство пользователя.
До перехода на новую реализацию gmap буфер был полностью
заполняется для каждого gfn в диапазоне, поэтому неинициализированные байты не сохраняются.
обнаженный; грязная прогулка привела к утечке. Используйте vzalloc(), чтобы пробелы считались нулевыми.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: KVM: s390: Initialize KVM_S390_GET_CMMA_BITS memory kvm_s390_get_cmma_bits() allocates its output buffer with vmalloc(), which does not zero the returned pages: values = vmalloc(args->count); In the non-peek (migration) path, dat_get_cmma() reports a byte count spanning from the first to the last dirty page, but __dat_get_cmma_pte() writes values[gfn - start] only for pages whose CMMA dirty bit is set. The walk uses DAT_WALK_IGN_HOLES, so clean and unmapped pages that lie between two dirty pages within the reported span are visited but never store their byte. Those gaps (up to KVM_S390_MAX_BIT_DISTANCE pages each) stay uninitialized yet fall inside [0, count) and are copied out by copy_to_user(), disclosing stale kernel memory to user space. Before the switch to the new gmap implementation the buffer was fully populated for every gfn in the span, so no uninitialized bytes were exposed; the dirty-only walk introduced the leak. Use vzalloc() so the gaps read back as zero.