CVE-2026-98396
Beschrijving NL
In de Linux kernel is de volgende kwetsbaarheid verholpen:
powerpc: KUAP niet herstellen in arch_exit_to_user_mode_prepare()
KUAP betekent dat de kernel het gebruikersgeheugen niet kan aanraken, tenzij dit expliciet is
ingeschakeld. In de kernel moet het AMR_KUAP_BLOCKED blijven. Bij terugkeer
naar gebruikersruimte net voor RFI, moet kernel de AMR-waarde van de gebruiker herstellen
terug. Het lijkt erop dat GENERIC_ENTRY mogelijk arch_exit_to_user_mode_prepare() behandelt
als de laatste architectuurstap voordat u terugkeert naar userspace. commit bee25f97ad24 ("powerpc: Enable GENERIC_ENTRY feature")
daarom kuap_user_restore() genoemd vanaf die haak. Maar op PowerPC dat
is te vroeg. Na irqentry_exit() / syscall_exit_to_user_mode() hebben we
nog steeds platformspecifieke exit-routines uitvoeren. bijv. codefragmenten met zowel uitzonderingsbehandeling als systeemoproep
afhandeling als de bellers van functie arch_exit_to_user_mode_prepare()
die kuap_user_restore() doet. Het onderstaande pad laat zien dat bellen
kuap_user_restore() is te vroeg wanneer aangeroepen vanuit
arch_exit_to_user_mode_prepare(). Uitzonderingsafhandeling in uitzonderingen-64s.S
=======================================
bl CFUNC(do_page_fault)
..DEFINE_INTERRUPT_HANDLER_ASYNC(do_page_fault)
arch_interrupt_async_enter_prepare(regs);
state = irqentry_enter(regs);
instrumentation_begin();
irq_enter_rcu();
afhandelaar(regs);
nap_adjust_return(regs);
irq_exit_rcu();
instrumentation_end();
arch_interrupt_async_exit_prepare(regs);
irqentry_exit(regs, s tate); <<< te vroeg
irqentry_exit_to_user_mode()
__exit_to_user_mode_prepare(regs, EXIT_TO_user_mode_WERK_IRQ);
arch_exit_to_user_mode_prepare(regs, ti_work); <<< te vroeg
b interrupt_return_srr.. bl CFUNC(interrupt_exit_user_prepare) < << roept kuap_user_restore al aan
prep_irq_for_enabled_exit() opnieuw proberen kan kernelcode uitvoeren met IRQ's aan. Dus
alleen wanneer die routine volledig is voltooid, is wanneer de gebruiker KUAP moet worden
volledig hersteld die interrupt_exit_user_prepare() al verzorgt
voordat hij terugkeert. Hetzelfde geldt voor het afhandelen van systeemoproepen in interrupt_64.S
======================================================
bl CFUNC(system_call_exception)
.Lsyscall_exit:
addi r4,r1,STACK_INT_FRAME_REGS
li r5,0 /* !scv */
bl CFUNC(syscall_exit_prepare)
.. kuap_assert_locked();
syscall_exit_to_user_mode(regs); <<< te vroeg
syscall_exit_to_user_mode_prepare(regs); <<< te vroeg
kuap_user_restore(regs); < << roept al aan
syscall_exit_prepare(), die IRQ's kan inschakelen, een in behandeling zijnde
onderbreken, en pas dan rfi. Die functies herstellen KUAP al
direct voor rfi. Merk op dat als we de AMR van de gebruiker te vroeg herstellen, zoals in de huidige code
zoals weergegeven in de codefragmenten hierboven, dan krijgen we de volgende waarschuwing
wanneer CONFIG_PPC_KUAP_DEBUG is ingeschakeld:
WAARSCHUWING: arch/powerpc/include/asm/book3s/64/kup.h:293 bij interrupt_exit_user_prepare+0x1a0/0x1c0
Hardware naam: IBM pSeries (geëmuleerd door qemu) POWER10 (architected)
TRAP: 0700
LR: c00000000000d8d4 CTR: c0000000021fe500
MSR: CR: 44000804 XER: 20040000
interrupt_exit_user_prepare+0x 1a0/0x1c0
interrupt_return_srr_user+0x8/0x12c
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
powerpc: Do not restore KUAP in arch_exit_to_user_mode_prepare()
KUAP means kernel cannot touch user memory unless it explicitly is
enabled. In the kernel it should stay AMR_KUAP_BLOCKED. While returning
to userspace just before RFI, kernel should restore the user AMR value
back.
Looks like GENERIC_ENTRY might be treating arch_exit_to_user_mode_prepare()
as the last architecture step before returning to userspace.
commit bee25f97ad24 ("powerpc: Enable GENERIC_ENTRY feature")
therefore called kuap_user_restore() from that hook. But on PowerPC that
is too early. After irqentry_exit() / syscall_exit_to_user_mode() we
still run platform specific exit routines.
e.g. code snippets showing both exception handling and system call
handling as the callers of function arch_exit_to_user_mode_prepare()
which does kuap_user_restore(). The below path shows that calling
kuap_user_restore() is too early when called from
arch_exit_to_user_mode_prepare().
Exception handling in exceptions-64s.S
=======================================
bl CFUNC(do_page_fault)
..DEFINE_INTERRUPT_HANDLER_ASYNC(do_page_fault)
arch_interrupt_async_enter_prepare(regs);
state = irqentry_enter(regs);
instrumentation_begin();
irq_enter_rcu();
handler(regs);
nap_adjust_return(regs);
irq_exit_rcu();
instrumentation_end();
arch_interrupt_async_exit_prepare(regs);
irqentry_exit(regs, state); <<< too early
irqentry_exit_to_user_mode()
__exit_to_user_mode_prepare(regs, EXIT_TO_USER_MODE_WORK_IRQ);
arch_exit_to_user_mode_prepare(regs, ti_work); <<< too early
b interrupt_return_srr
.. bl CFUNC(interrupt_exit_user_prepare) <<< already calls kuap_user_restore
prep_irq_for_enabled_exit() retry can run kernel code with IRQs on. So
only when that routine is fully finished is when the user KUAP should be
fully restored which interrupt_exit_user_prepare() already takes care of
before returning.
Similarly for system call handling in interrupt_64.S
======================================================
bl CFUNC(system_call_exception)
.Lsyscall_exit:
addi r4,r1,STACK_INT_FRAME_REGS
li r5,0 /* !scv */
bl CFUNC(syscall_exit_prepare)
.. kuap_assert_locked();
syscall_exit_to_user_mode(regs); <<< too early
syscall_exit_to_user_mode_prepare(regs); <<< too early
kuap_user_restore(regs); <<< already calls
syscall_exit_prepare(), which can enable IRQs, replay a pending
interrupt, and only then rfi. Those functions already restore KUAP
immediately before rfi.
Note that if we restore the user AMR too early like in the current code
as shown from the code snippets above, then we get the following warning
when CONFIG_PPC_KUAP_DEBUG is enabled:
WARNING: arch/powerpc/include/asm/book3s/64/kup.h:293 at interrupt_exit_user_prepare+0x1a0/0x1c0
Hardware name: IBM pSeries (emulated by qemu) POWER10 (architected)
TRAP: 0700
LR: c00000000000d8d4 CTR: c0000000021fe500
MSR: CR: 44000804 XER: 20040000
interrupt_exit_user_prepare+0x1a0/0x1c0
interrupt_return_srr_user+0x8/0x12c