近期披露的 CVE‑2026‑64018 是 Linux 内核 net 子系统 mana 网卡驱动高危漏洞CVSS 评分为 9.3漏洞根源为索引边界校验缺失可引发数组越界内存访问在 SEV‑SNP、TDX 等机密虚拟机环境下风险进一步提升对搭载 mana 虚拟化网卡的云主机、机密计算节点构成安全威胁建议运维与安全团队开展资产风险排查。从技术原理层面分析漏洞位于mana_hwc_rx_event_handler()接收事件处理函数。驱动从 DMA 一致内存中的 sge 地址解析得到rx_req_idx索引值该共享内存区域在机密虚拟机中为明文共享状态硬件可随时修改 WQE 队列内容。原有代码未对解析出来的rx_req_idx增加边界校验直接将索引传入reqs[]数组进行访问。攻击者可借助共享 DMA 内存篡改索引数值使程序访问数组合法范围之外的内存空间触发越界读写破坏相邻内核内存数据。上游修复方案增加索引边界判断校验rx_req_idx是否落在数组合法区间超出范围则终止处理流程阻止非法内存访问。结合 CVSS 向量CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H分析该漏洞以本地触发为主攻击需要在虚拟机内部具备基础访问权限利用存在一定复杂度。漏洞具备跨安全域扩散能力成功利用后可读取内核敏感数据、篡改内存结构引发内核崩溃拒绝服务部分场景存在权限提升风险运维人员需要结合云虚拟化架构评估本地利用与系统崩溃风险。业务场景层面mana 驱动主要应用于云平台虚拟化网卡广泛部署在公有云、私有云虚拟机节点尤其常见于启用机密计算能力的多租户环境。普通物理服务器不涉及机密 VM 共享 DMA 内存场景利用难度显著提升。漏洞依赖可控修改 WQE 内容的能力常规业务流程无法构造非法索引具备较强隐蔽性常规功能测试难以覆盖。未加载 mana 网卡驱动的设备不受此漏洞影响。针对该漏洞可采用分层处置策略。首先梳理云平台资产清单核查虚拟化节点、机密虚拟机是否加载 mana 驱动确认内核版本是否处于受影响区间其次优先合入社区官方补丁补充 rx_req_idx 索引边界校验逻辑补丁上线前强化虚拟机租户隔离限制虚拟机内非授权用户操作 DMA 相关接口运行阶段持续采集内核 Oops、数组越界相关日志及时捕获异常触发行为。在虚拟化网卡驱动开发中来自共享 DMA 内存的数据属于不可信输入缺少边界校验极易引发越界访问是机密计算场景重点关注的安全风险。望获 OS 时刻关注高危漏洞及时安装修复补丁保证系统的安全性。持续跟进虚拟化硬件驱动安全公告为云主机、机密计算业务提供补丁层面安全支撑。总体来看CVE‑2026‑64018 反映出内核驱动对外部输入的信任问题。开发人员默认 DMA 内存输出的索引合法忽略机密虚拟机下共享内存可被篡改的威胁模型缺少基础边界防护。此类漏洞在多租户云环境威胁更为突出。运维团队应建立虚拟化内核驱动常态化漏洞监测机制及时跟进上游安全更新完成补丁迭代降低内存越界访问、权限提升等安全隐患。