]> xenbits.xensource.com Git - xen.git/commitdiff
x86/vvmx: Fix livelock with XSA-304 fix
authorAndrew Cooper <andrew.cooper3@citrix.com>
Fri, 29 Nov 2019 09:19:07 +0000 (10:19 +0100)
committerJan Beulich <jbeulich@suse.com>
Fri, 29 Nov 2019 09:19:07 +0000 (10:19 +0100)
It turns out that the XSA-304 / CVE-2018-12207 fix of disabling executable
superpages doesn't work well with the nested p2m code.

Nested virt is experimental and not security supported, but is useful for
development purposes.  In order to not regress the status quo, disable the
XSA-304 workaround until the nested p2m code can be improved.

Introduce a per-domain exec_sp control and set it based on the current
opt_ept_exec_sp setting.  Take the oppotunity to omit a PVH hardware domain
from the performance hit, because it is already permitted to DoS the system in
such ways as issuing a reboot.

When nested virt is enabled on a domain, force it to using executable
superpages and rebuild the p2m.

Having the setting per-domain involves rearranging the internals of
parse_ept_param_runtime() but it still retains the same overall semantics -
for each applicable domain whose setting needs to change, rebuild the p2m.

Signed-off-by: Andrew Cooper <andrew.cooper3@citrix.com>
Acked-by: George Dunlap <george.dunlap@citrix.com>
xen/arch/x86/hvm/vmx/vmx.c
xen/arch/x86/hvm/vmx/vvmx.c
xen/arch/x86/mm/p2m-ept.c
xen/include/asm-x86/hvm/vmx/vmcs.h

index 8d4d973ff098b98cedb36d6483a6b497cb7a59fe..e95b4c2d1ff2c820bd95a799afefb286d27d82a2 100644 (file)
@@ -229,6 +229,12 @@ static int vmx_domain_initialise(struct domain *d)
 {
     int rc;
 
+    /*
+     * Work around CVE-2018-12207?  The hardware domain is already permitted
+     * to reboot the system, so doesn't need mitigating against DoS's.
+     */
+    d->arch.hvm_domain.vmx.exec_sp = is_hardware_domain(d) || opt_ept_exec_sp;
+
     if ( !has_vlapic(d) )
         return 0;
 
index 71c8fc336175dbfc9bbdc59d7470ca9dbfe8ef75..a8e354d998d777a5cbdadcac4b2e5692bbfdd8e4 100644 (file)
@@ -55,10 +55,23 @@ void nvmx_cpu_dead(unsigned int cpu)
 
 int nvmx_vcpu_initialise(struct vcpu *v)
 {
+    struct domain *d = v->domain;
     struct nestedvmx *nvmx = &vcpu_2_nvmx(v);
     struct nestedvcpu *nvcpu = &vcpu_nestedhvm(v);
     struct page_info *pg = alloc_domheap_page(NULL, 0);
 
+    /*
+     * Gross bodge.  The nested p2m logic can't cope with the CVE-2018-12207
+     * workaround of using NX EPT superpages, and livelocks.  Nested HVM isn't
+     * security supported, so disable the workaround until the nested p2m
+     * logic can be improved.
+     */
+    if ( !d->arch.hvm_domain.vmx.exec_sp )
+    {
+        d->arch.hvm_domain.vmx.exec_sp = true;
+        p2m_change_entry_type_global(d, p2m_ram_rw, p2m_ram_rw);
+    }
+
     if ( !pg )
     {
         gdprintk(XENLOG_ERR, "nest: allocation for shadow vmcs failed\n");
index d0637eeb1529b887c3591b6ce93e3cc4f002c38b..7e0d93a4c0ba92c5eb60d16c91bd30510d541a7f 100644 (file)
@@ -214,7 +214,7 @@ static void ept_p2m_type_to_flags(struct p2m_domain *p2m, ept_entry_t *entry,
      * Don't create executable superpages if we need to shatter them to
      * protect against CVE-2018-12207.
      */
-    if ( !opt_ept_exec_sp && is_epte_superpage(entry) )
+    if ( !p2m->domain->arch.hvm_domain.vmx.exec_sp && is_epte_superpage(entry) )
         entry->x = 0;
 }
 
index 3a67a31326c1374600d9c3d1387b3a5e0b63f013..001e95d4be597e9b5361e232af04e9fcefe4a8b4 100644 (file)
@@ -78,6 +78,12 @@ struct vmx_domain {
     /* VMX_DOMAIN_* */
     unsigned int status;
 
+    /*
+     * Domain permitted to use Executable EPT Superpages?  Cleared to work
+     * around CVE-2018-12207 as appropriate.
+     */
+    bool exec_sp;
+
     /*
      * To handle posted interrupts correctly, we need to set the following
      * state: