CVE-2026-63940
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W jądrze Linuxa załatano podatność w KVM SEV, która pozwalała na obsługę żądań Port I/O o zerowej długości. Taka sytuacja mogła prowadzić do niedomiaru (underflow) długości podczas konfigurowania obszaru scratch, co potencjalnie umożliwiało nieprawidłowe działanie lub awarię systemu.
Ocena ryzyka
Ryzyko polega na możliwym zakłóceniu działania maszyn wirtualnych korzystających z SEV (Secure Encrypted Virtualization) poprzez wysłanie specjalnie spreparowanego żądania Port I/O o zerowej długości, co może prowadzić do nieprzewidywalnego zachowania lub wycieku informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację jądra Linuxa do wersji zawierającej poprawkę (commit z rozwiązaniem). Należy monitorować dostępność łatki dla używanej dystrybucji i zastosować ją w pierwszej kolejności na systemach produkcyjnych z wirtualizacją KVM/SEV.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: KVM: SEV: Ignore Port I/O requests of length '0' Explicitly ignore Port I/O requests of length '0' (or count '0'), so that setting up the software scratch area (and other code) doesn't have to worry about underflowing the length, and to allow for WARNing on trying to configure the scratch area with len==0.