CVE-2026-71694 RISC-V BOOM Processor Improper Access Control via MRET/MPRV State

漏洞概述 CVE ID: CVE-2026-71694 漏洞类型: 不正确访问控制（CWE: CWE-284 — Improper Access Control） 攻击类型: 本地 安全影响: 不正确特权状态恢复后 MRET 不正确内存访问权限解释 保留状态 MPRV/MPP 特权状态 在受影响执行条件下潜在特权升级 受影响产品: Berkeley Out-of-Order Machine (BOOM) / BoomTile RTL benchmark 作为 ProcessorFuzz 的一部分分发。 受影响版本: ProcessorFuzz public commit: 2080d0d8b4563212175212f9dbee09f6e68c9619 受影响组件: 与 CSR trap-return 状态恢复相关的逻辑，包括： MRET 处理逻辑 mstatus.MPRV 更新逻辑 mstatus.MPP 特权状态恢复 CSRFile 状态恢复逻辑 Load/store 特权解释在 trap 返回后 攻击条件: 利用需要执行特权 trap 返回路径。本地攻击者、测试程序、操作系统组件、固件组件、hypervisor 组件或其他特权执行路径能够影响机器模式 CSR 状态可以建立以下条件： 1. mstatus.MPRV 设置为 1； 2. mstatus.MPP 指定低于机器模式的特权级别； 3. MRET 被执行以从 M 模式返回到 S 模式或 U 模式； 4. 受影响的实现保留 mstatus.MPRV=1 在特权转换后。 技术描述: mstatus.MPRV 改变用于显式加载和存储操作的有效特权级别。当机器模式软件使用 MPRV 时，与内存访问相关的有效特权可以根据存储在 mstatus.MPP 中的特权级别确定。当 MRET 返回执行到低于机器模式的特权级别时，架构特权恢复过程应清除状态 MPRV 状态。在受影响的 BOOM/BoomTile RTL 基准中，提供的重现证据表明在执行已从 M 模式返回后 MRET，而 mstatus.MPRV 保持设置。 规范需求: RISC-V 特权架构定义特权状态恢复的 trap 返回行为。对于相关的 MRET 转换，当恢复的特权级别低于机器模式时，MPRV 状态不得作为机器模式特权控制状态保持活动状态。提供的证据中演示的行为违反了预期的特权状态恢复行为。 重现证据: 该仓库包含支持问题重现和分析的公共证据。证据包包括： 触发输入 完整 run.log 原始 rtl_1.log 执行跟踪 func_check.py 检查器 utils.py 解析器 SHA-256 清单 ProcessorFuzz 公共基准比较 统一 RTL diff 关键 MRET/MPRV/MPP 语句比较 证据到公共基准验证: 受影响的公共 ProcessorFuzz 基准是 Benchmarks/Verilog/SmallBoomTile_v1_2_state.v。ProcessorFuzz commit: 2080d0d8b4563212175212f9dbee09f6e68c9619。提交的证据 RTL 的 SHA-256 为 690cf7acf19d27394ff562004fba9ad6668240895ae2e16a0939405cbc24。公共 ProcessorFuzz 基准 RTL 的 SHA-256 为 31f69e7d4441084722616200bfcf3da362fe3db8326992bc1624e81a509c57。提交的证据 RTL 与公共 ProcessorFuzz BOOM 基准进行比较。差异主要与 CSR 跟踪日志记录和辅助观察信号用于日志记录相关。相关的 MRET/MPRV/MPP RTL 语句分别从证据 RTL 和公共基准中提取。在移除行号差异后，相关语句的比较产生了无差异，支持观察仪器不修改相关的 CSR/MRET 特权状态恢复逻辑。 公开披露日期: 2026年7月11日 参考: ProcessorFuzz: https://github.com/uc-iscg/ProcessorFuzz Berkeley Out-of-Order Machine (BOOM): https://github.com/riscv-boom/riscv-boom RISC-V ISA Manual: https://github.com/riscv/riscv-isa-manual 公共漏洞公告和支持证据: https://github.com/duan528/BOOM-MRET-MPRV-Vulnerability-Report 发现者: Duan Xuemei 影响范围 受影响产品: Berkeley Out-of-Order Machine (BOOM) / BoomTile RTL benchmark 作为 ProcessorFuzz 的一部分分发。 受影响版本: ProcessorFuzz public commit: 2080d0d8b4563212175212f9dbee09f6e68c9619 受影响组件: 与 CSR trap-return 状态恢复相关的逻辑，包括 MRET 处理逻辑、mstatus.MPRV 更新逻辑、mstatus.MPP 特权状态恢复、CSRFile 状态恢复逻辑、Load/store 特权解释在 trap 返回后。 修复方案 当前状态: 目前没有已知的修复版本。 建议措施: 建议用户关注后续更新，及时应用官方发布的修复补丁。同时，可以通过审查和验证相关代码逻辑，确保特权状态恢复的正确性，以减少潜在的安全风险。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-71694 RISC-V BOOM Processor Improper Access Control via MRET/MPRV State

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-71694 RISC-V BOOM Processor Improper Access Control via MRET/MPRV State

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！