Lu Baolu

Um problema de vazamento de memória foi identificado no kernel do Linux, especificamente na função iopf queue remove device(). Esta função é responsável por remover um dispositivo da fila iopf por iommu quando o PRI está desabilitado no dispositivo. No entanto, ela falha em liberar a estrutura de grupo que representa um conjunto de iopfs aguardando resposta após responder ao hardware, potencialmente causando um vazamento de memória se iopf queue remove device() for chamada com iopfs pendentes.

Foi resolvido um problema de desreferência de ponteiro NULL no componente iommu/vt-d do kernel Linux. O problema ocorre ao tentar mapear páginas para um domínio pai aninhado, resultando em uma desreferência NULL. Além disso, há um possível vazamento de memória devido à falta de um bloqueio na alocação de domain->qi batch. O problema foi corrigido adicionando um auxiliar para a alocação de qi batch e chamando-o nas funções cache tag assign domain() e cache tag assign parent domain().

O problema decorre da implementação atual do kernel do Linux, na qual as tags de cache são removidas após a desativação do ATS, levando a possíveis vazamentos de memória e falhas do kernel. Especificamente, as tags de cache do tipo CACHE TAG DEVTLB podem permanecer na lista mesmo após a liberação do domínio, causando uma condição de uso após liberação (use-after-free). Esse problema ocorre quando múltiplos VFs de diferentes PFs são passados para um único processo no espaço do usuário via vfio-pci, resultando em travamentos do kernel com mensagens como “BUG: kernel NULL pointer dereference”. A função `cache tag flush range` está envolvida no problema, e mover `cache tag unassign domain` antes de `iommu disable pci caps` pode corrigi-lo.

Nome do software vulnerável e versões afetadas: Kernel do Linux (versões afetadas não especificadas) Descrição: O problema está relacionado a um possível vazamento de memória na função `intel setup irq remapping()`. Esse vazamento ocorre quando a variável `fn` só é liberada após falhar na alocação de `ir domain`, mas deveria ser liberada também caso `dmar enable qi` retorne um erro. Além disso, `irq domain` e `ir msi domain` precisam ser removidos se `intel setup irq remapping` não conseguir habilitar a invalidação em fila. O caminho de reversão foi aprimorado com a adição das etiquetas `out free ir domain` e `out free fwnode`. Esse problema pode potencialmente permitir que um invasor cause uma negação de serviço. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

O problema está relacionado à função `iommu sva bind device()`, que deve retornar um identificador de ligação SVA ou um valor `ERR PTR` em casos de erro. No entanto, drivers existentes, como `idxd` e `uacce`, verificam o valor de retorno apenas com `IS ERR()`, o que pode levar a um problema de desreferência de ponteiro NULL no kernel se a função retornar `NULL` em vez de um ponteiro de erro. Na realidade, isso não causa nenhum problema porque `iommu sva bind device()` retorna `NULL` apenas quando o kernel não está configurado com `CONFIG IOMMU SVA` e, nesse caso, `iommu dev enable feature(dev, IOMMU DEV FEAT SVA)` retornará um erro, impedindo que os drivers de dispositivo chamem `iommu sva bind device()`.

O problema está relacionado ao manipulador de falha de página de E/S no kernel do Linux, que atualmente localiza o dispositivo PCI chamando `pci get domain bus and slot()`. Essa função pesquisa a lista de todos os dispositivos PCI até que o dispositivo desejado seja encontrado. Para melhorar a eficiência da pesquisa, ela é substituída por `device rbtree find()` para pesquisar o dispositivo dentro da árvore RBT dos dispositivos detectados. A falha de página de E/S é iniciada pelo dispositivo, que não possui nenhum mecanismo de sincronização com o software para garantir que o dispositivo permaneça na árvore de dispositivos sondados. Teoricamente, um dispositivo poderia ser liberado pelo subsistema IOMMU após `device rbtree find()` e antes de `iopf get dev fault param()`, o que causaria um problema de uso após liberação. Um mutex é adicionado para sincronizar o caminho de relatório de falha de página de E/S e o caminho de liberação do dispositivo pelo IOMMU.

Um vazamento no sysfs na função `alloc iommu()` foi resolvido. A função `iommu device sysfs add()` é chamada anteriormente e precisa ser limpa em caso de erros subsequentes.