CVE-2026-89984 in Linux
Resumen
por VulDB • 2026-09-16
En el núcleo de Linux, se ha resuelto la siguiente vulnerabilidad:
perf/x86/intel: Corrección de las fugas de direcciones del kernel en la pila LBR
Antes de que Arch LBR incorporara soporte para filtrado por CPL (anillo de privilegio), una pila de ramas solo de usuario aún podía contener direcciones del kernel. Como resultado, los registros de ramas del kernel pueden quedar expuestos al espacio de usuario incluso cuando se solicita PERF_SAMPLE_BRANCH_USER.
Por ejemplo, en Intel Tiger Lake, el siguiente comando sigue informando entradas SYSRET/ERET con espacios de direcciones del kernel:
$ ./perf record -e cycles:p -o - --branch-filter any,save_type,u -- \ ./perf bench syscall basic --loop 1000 | \ ./perf script -i - --fields brstack|tr ' ' '\n'| \ grep -E '0x[89a-f][0-9a-f]{15}'
Tiempo total: 0.000 [seg]
0.219000 usecs/op 4,566,210 ops/sec [ perf record: Despertado 1 veces para escribir datos ]
[ perf record: Capturado y escrito 0.551 MB - ]
0xffffffff93c001c8/0x7f12a2b1d647/P/-/-/16959/SYSRET/- 0xffffffff93c001c8/0x7f12a2b1d5c2/P/-/-/17535/SYSRET/- 0xffffffff93c01928/0x7f12a2861000/P/-/-/6719/ERET/- 0xffffffff93c01928/0x7f12a297a000/P/-/-/8575/ERET/-
El problema es que intel_pmu_lbr_filter() no valida completamente el nivel de privilegio de las entradas muestreadas. Filtra algunas incoherencias basándose en el tipo de rama y la dirección destino, pero no rechaza las entradas cuya dirección origen viola el filtro de privilegios de ramas solicitado.
Se corrige esto extendiendo el filtrado por software para validar tanto las direcciones origen como las destinos contra br_sel. Cualquier entrada LBR que contenga una dirección del kernel que no coincida con el filtro de usuario solicitado se descarta. Esto evita que aparezcan direcciones del kernel en pilas de ramas solo de usuario.
VulDB is the best source for vulnerability data and more expert information about this specific topic.