Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - genirq/msiIOVA を iommu_cookie の代わりに msi_desc に直接保存します。MSI メッセージアドレスの IOMMU 変換は 2 段階のプロセスであり、時間で区切られています。 1) iommu_dma_prepare_msi()IOVA アドレスを含むクッキーポインターは、 MSI 割り込みが割り当てられたときの MSI 記述子。 2) iommu_dma_compose_msi_msg()このクッキーポインターは、変換されたメッセージアドレスを計算するために使用されます。これには、Cookie に保存されるポインターに固有の有効期間の問題があり、2 つのステップ間で有効を維持しなければなりません。しかし、irq レイヤーに寿命を保護するのに役立つロッキングはありません。現在は、これは MSI 割り込みがプログラムされている間は iommu ドメインが変更されないという前提で動作します。iommuドメインは、ドライバーがプローブされる前に接続され、ドライバーが接続されている間は変更できないため、カーネル内の通常のDMA APIユーザーの場合、これは該当します。クラシック VFIO type1 はまた、VFIO の実行中の iommu ドメインの変更を阻止しました。これは、起動後のコンテナの変更をサポートしないためです。
    しかし、iommufd では、これが改善されており、VFIO 操作中に iommu ドメインを変更できるようになっています。これにより、ユーザー空間が VFIO_DEVICE_ATTACH_IOMMUFD_PTiommu_attach_group() を呼び出すと VFIO_DEVICE_SET_IRQS iommu_dma_compose_msi_msg() を呼び出しますと直接競合する可能性があります。これにより、クッキーポインターと、MSI 変換パスの iommu_get_domain_for_dev() へのロック解除された呼び出しの両方が、UAF になる可能性があります。クッキーポインターを削除することで MSI クッキー UAF を修正します。変換された IOVA アドレスは iommu_dma_prepare_msi() 中に既に知られており、変更できません。したがって、単純に整数として MSI 記述子に保存できます。iommu_get_domain_for_dev()に関連するその他のUAFは、パッチiommuで対処されます。IOMMUグループmutexを使用してジェネリック操作にiommu_dma_prepare_msi()を作成します。CVE-2025-38062

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-38062

medium Nessus プラグイン ID 244324

バージョン 1.17