Rick Edgecombe

O problema está relacionado ao recurso dma-direct no kernel do Linux, onde um host não confiável no TDX pode fazer com que as funções set memory encrypted() ou set memory decrypted() falhem, resultando em memória compartilhada. Os chamadores devem lidar com esses erros para evitar devolver memória descriptografada ao alocador de páginas, o que poderia levar a problemas funcionais ou de segurança. O DMA poderia liberar páginas descriptografadas/compartilhadas se dma set decrypted() falhar e, nesse caso raro, as páginas deveriam vazar em vez de serem liberadas.

Nas máquinas virtuais CoCo, é possível que um host não confiável provoque a falha das funções `set memory encrypted()` ou `set memory decrypted()`, resultando em memória compartilhada. Os chamadores precisam lidar com esses erros para evitar devolver memória descriptografada (compartilhada) ao alocador de páginas, o que poderia levar a problemas funcionais ou de segurança. O driver `netvsc` poderia liberar páginas descriptografadas/compartilhadas se `set memory decrypted()` falhar. Verificar o campo `decrypted` no `gpadl` pode determinar se a memória deve ser liberada.

O problema ocorre em máquinas virtuais CoCo, nas quais um host não confiável pode fazer com que as funções `set memory encrypted()` ou `set memory decrypted()` falhem, resultando em memória compartilhada. Os chamadores devem lidar com esses erros para evitar o retorno de memória descriptografada ao alocador de páginas, o que poderia resultar em problemas funcionais ou de segurança. O código VMBus pode liberar páginas descriptografadas se `set memory encrypted()` ou `set memory decrypted()` falharem, potencialmente causando vazamento de páginas.

O problema está relacionado ao componente KVM (Kernel-based Virtual Machine) do kernel do Linux. Ele ocorre quando atributos de memória são definidos em um intervalo de GFN (Guest Frame Number) e esse intervalo possui propriedades específicas aplicadas ao TDP (Translation Data Processor). Uma página enorme não pode ser usada quando os atributos são inconsistentes. A operação KVM SET MEMORY ATTRIBUTES verifica um xarray para garantir que ele possua consistentemente o atributo recebido. No entanto, uma otimização empregada pela função auxiliar `hugepage has attrs()` pode causar um estouro da matriz `kvm lpage info` de nível -1, resultando em uma leitura fora dos limites do vmalloc. O bit `KVM LPAGE MIXED FLAG` é usado para marcar páginas enormes com atributos mistos e é essencialmente uma contagem permanentemente elevada. Páginas enormes não serão mapeadas para o GFN nesse tamanho de página se a contagem estiver elevada. O problema pode ser observado compilando o kernel com `CONFIG KASAN VMALLOC` e executando o autoteste “private mem conversions test”.

Nas VMs CoCo, um host não confiável pode fazer com que `set memory encrypted()` ou `set memory decrypted()` falhem, resultando em memória compartilhada. Os chamadores devem lidar com esses erros para evitar devolver memória descriptografada ao alocador de páginas, o que poderia levar a problemas funcionais ou de segurança. O driver UIO do dispositivo VMBus pode liberar páginas descriptografadas/compartilhadas se `set memory decrypted()` falhar. Verificar o campo `decrypted` no `gpadl` pode ajudar a decidir se a memória deve ser liberada.