🇰🇷 한글 설명
SNP가 활성화된 호스트에서 SEV 또는 SEV-ES 게스트의 메모리를 암호화/복호화할 때, KVM이 임시 버퍼로 전체 4KiB 페이지를 할당하지 않아 발생하는 취약점입니다. 이로 인해 커널의 다른 코드가 해당 페이지의 일부를 공유하여 사용하게 되면, SNP 아키텍처의 보안 정책과 충돌하여 RMP #PF(Reverse Map Table Page Fault) 위반 및 커널 패닉이 발생할 수 있습니다.
💡 쉬운 설명
컴퓨터의 보안 기능을 사용할 때 메모리 공간을 나누어 쓰다가 보안 규칙을 어기게 되어 시스템이 갑자기 멈추는 문제입니다. 메모리 공간을 통째로 빌려 쓰지 않고 일부분만 사용하려다 발생한 충돌입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
KVM: SEV: Allocate full pages for {DE,EN}CRYPT ops on SNP-enabled hosts
When {de,en}crypting memory of an SEV or SEV-ES guest on an SNP-enabled
host via a temporary buffer, allocate a full 4KiB page for the buffer to
ensure the page containing the buffer is wholly owned by KVM, i.e. won't
be concurrently allocated and accessed by other kernel code while KVM is
using the buffer to {de,en}crypt memory. On SNP-enabled platforms, when
sending SEV/SEV-ES commands that trigger firmware writes to memory, the
to-be-written page(s) must be (temporarily) assigned to Firmware (as
required by the SNP architecture, to guard against using such commands as
gadgets to attack SNP guests). See snp_map_cmd_buf_desc() and friends.
Unfortunately, transferring ownership of a page to Firmware makes the page
inaccessible to software, and thus writes generate RMP #PF violations. If
KVM uses a sub-page allocation for its temporary buffer, some other actor
in the kernel can allocate and use the other portions of the page, and thus
trigger unexpected (and seemingly spurious) RMP #PF violations due to
software attempting to access a Firmware-owned page.
BUG: unable to handle page fault for address: ffff906ae30f0300
#PF: supervisor write access in kernel mode
#PF: error_code(0x80000003) - RMP violation
PGD 6b1b80d067 P4D 6b1b80d067 PUD 100231e2063 PMD 10055a88063 PTE 80000100630f0163
SEV-SNP: PFN 0x100630f0 unassigned, dumping non-zero entries in 2M PFN region: [0x10063000 - 0x10063200]
Oops: Oops: 0003 [#1] SMP
CPU: 70 UID: 0 PID: 10658 Comm: svw_WaiterThrea Tainted: G U W O 7.1.0-smp--c22293789940-seanjc-next #1 PREEMPTLAZY
Tainted: [U]=USER, [W]=WARN, [O]=OOT_MODULE
Hardware name: Google, Inc. Arcadia_IT_80/Arcadia_IT_80, BIOS 34.86.0-102 01/25/2026
RIP: 0010:memset+0xf/0x20
Call Trace:
<TASK>
__kvmalloc_node_noprof+0x2a4/0x710
do_getxattr+0x4e/0x130
path_getxattrat+0x125/0x1b0
do_syscall_64+0x10a/0x480
entry_SYSCALL_64_after_hwframe+0x4b/0x53
RIP: 0033:0x7f3a22cb6daa
</TASK>
Modules linked in: kvm_amd kvm irqbypass vfat fat ccp k10temp sha3 libsha3 i2c_piix4 gq(O) cdc_acm xhci_pci xhci_hcd
gsmi: Log Shutdown Reason 0x03
CR2: ffff906ae30f0300
---[ end trace 0000000000000000 ]---
RIP: 0010:memset+0xf/0x20
Kernel panic - not syncing: Fatal exception
Kernel Offset: 0x39e00000 from 0xffffffff81000000 (relocation range: 0xffffffff80000000-0xffffffffbfffffff)
gsmi: Log Shutdown Reason 0x02
📍 영향받는 시스템
SNP(Secure Nested Paging) 기능이 활성화된 AMD 프로세서를 사용하는 Linux 커널 시스템
⚔️ 공격 벡터
커널 내 다른 구성 요소가 공유된 페이지의 나머지 부분을 사용하도록 유도하여 RMP 위반 및 시스템 중단을 유발하는 방식
🛡️ 대응 방법
KVM의 SEV/SEV-ES 암호화 작업 시 임시 버퍼를 위해 반드시 전체 4KiB 페이지를 할당하도록 커널을 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치가 적용된 최신 버전인지 확인하십시오.