Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - s390/vfio-ap:vfio_ap_mdev_set_kvm() のエラー時の古い pqap_hook ポインターを修正します vfio_ap_mdev_set_kvm() では、更新ロックが取得され、mdev リストが競合する割り当てに関してチェックされる前に、kvm->arch.crypto.pqap_hook が &matrix_mdev->pqap_hook に設定されます。別の mdev が同じ KVM インスタンスにすでに接続されている場合、この関数はフックポインターを復元せずに -EPERM を返します。これにより、KVM を正当に所有している mdev の代わりに、失敗したmatrix_mdevを kvm->arch.crypto.pqap_hook がポイントしたままになります。matrix_mdev->kvm はこのエラーパスで決して設定されないため、vfio_ap_mdev_unset_kvm() は後で matrix_mdev が閉じられたときにフックをクリーンアップしません。その後matrix_mdevが解放されると、ゲストによって実行される PQAP 命令が pqap_hook_rwsem を通して古いポインターを逆参照し、use-after-free が発生します。kvm->arch.crypto.pqap_hook は vfio_ap_mdev_set_kvm() 関数でのみ設定され、vfio_ap_mdev_unset_kvm() 関数でクリアされるため、「kvm->arch.crypto.pqap_hook != NULL」を確認するだけで、別の mdev に属しているかどうかを判断できます。これにより、kvm オブジェクトが別の mdev に割り当てられているかどうかを確認するために matrix_dev->mdev_list リストを繰り返す必要性が軽減されます。これは、リストを反復する際にmdevs_lockを取得する必要性を軽減するために v3 で導入されました。しかし、これは潜在的な競合状態を防ぐことはできませんでした。pqap_hook_rwsem(書き込み)は get_update_locks_for_kvm() 内で実行されるようになりました。() は、kvm->lock と mdevs_lock の間でpqap_hook_rwsem(書き込み)を取得するよう更新されています。この順序は PQAP インターセプトパスと一致しています。これは、srcu が vcpu->mutex で保持されている間に読み取りモードで pqap_hook_rwsem を取得し、依存関係を確立します:kvm->lock -> vcpu->mutex -> srcu -> pqap_hook_rwsem(read)。
    現在、pqap_hook_rwsemは release_update_locks_for_kvm() 内で解放されています。() は、mdevs_lock と kvm->lock の間の pqap_hook_rwsem(書き込み)をリリースするために更新されています。さらに、vfio_ap_mdev_unset_kvm() の kvm_put_kvm() は release_update_locks_for_kvm() の後に移動します。以前は、kvm->lock の保持中に呼び出されていました。最後の参照であった場合、kvm_destroy_vm() は kvm->lock の下で実行され、デッドロックになっていました。(CVE-2026-89960)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-89960

high Nessus プラグイン ID 346516

バージョン 1.19