原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。crypto: ccp - ioctl(SNP_CONFIG)でSNPを初期化しない件について、Sashikoのコメントは以下のとおりです。SEVの初期化に失敗すると、KVMが通常のVMをアクティブに実行している場合に、ユーザースペースプロセスが/dev/sevのioctl（例：SEV_PDH_GEN）を通じてこのコードパスをトリガーでき、MSR_VM_HSAVE_PAをグローバルにゼロクリアしてしまう可能性があります。その場合、アクティブなVMの次回のVMRUN実行時に一般保護違反が発生し、ホストがクラッシュする恐れがあります。SNPがまだ初期化されていない場合は、SNP_CONFIGの再初期化を拒否します。これは技術的にABIの互換性破壊を伴います。かつてはSNPの初期化に失敗しても、このioctlによって透過的に再トリガー可能で、VMが実行されていなければ問題はありませんでした。幸いにもこれはかなり特殊なケースであり、ほとんど気づかれないと考えられますが、もし発覚した場合の対応案は以下のとおりです。* kvmに対してsymbol_get()のような操作を行い、KVMがロードされている場合は初期化を拒否する。* 各CPUのHSAVE_PAに非ゼロのデータがあるかを確認してから再初期化を行う。* 一度初期化に失敗した場合は、ccpモジュールがアンロードされるまで初期化を拒否し続ける。