Michael Kelley

Nas máquinas virtuais CoCo, é possível que um host não confiável provoque a falha das funções `set memory encrypted()` ou `set memory decrypted()`, resultando em memória compartilhada. Os chamadores precisam lidar com esses erros para evitar devolver memória descriptografada (compartilhada) ao alocador de páginas, o que poderia levar a problemas funcionais ou de segurança. O driver `netvsc` poderia liberar páginas descriptografadas/compartilhadas se `set memory decrypted()` falhar. Verificar o campo `decrypted` no `gpadl` pode determinar se a memória deve ser liberada.

O problema está relacionado a uma regressão funcional no componente swiotlb do kernel do Linux, que causa a dupla alocação de slots devido a um tratamento incorreto do alinhamento. Isso pode levar à corrupção do buffer e/ou ao travamento do sistema ao usar o vsock em uma máquina virtual com um pool DMA SWIOTLB restrito. O problema ocorre porque swiotlb alloc() espera uma alocação alinhada à página, mas retorna um ponteiro para a ‘struct page’ correspondente à alocação, resultando na dupla alocação da primeira metade da página de 4 KiB. O problema é resolvido tratando o alinhamento da alocação separadamente de quaisquer requisitos de alinhamento adicionais do dispositivo.

Nas VMs CoCo, é possível que um host não confiável faça com que `set memory encrypted()` ou `set memory decrypted()` falhem, resultando em memória compartilhada. Os chamadores precisam lidar com esses erros para evitar devolver memória descriptografada ao alocador de páginas, o que poderia levar a problemas funcionais ou de segurança. O código do buffer circular do VMBus pode liberar páginas descriptografadas/compartilhadas se `set memory decrypted()` falhar. Verificar o campo `decrypted` na `struct vmbus gpadl` para os buffers circulares pode ajudar a decidir se a memória deve ser liberada.

O problema está relacionado a um vazamento de buffer de rebote swiotlb em VMs confidenciais. A função `storvsc queuecommand()` mapeia a lista scatter/gather usando `scsi dma map()`, que aloca buffers de rebote swiotlb em uma VM confidencial. Se o envio de E/S falhar em `storvsc do io()`, a E/S é normalmente repetida por código de nível superior, mas a memória do buffer de rebote nunca é liberada. Isso pode levar a uma negação de serviço, pois vazamentos suficientes de memória do buffer de rebote podem fazer com que a VM confidencial seja incapaz de realizar qualquer E/S. O mesmo problema pode surgir em VMs não confidenciais com o parâmetro de inicialização do kernel `swiotlb=force`.