CVE-2026-46316

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: KVM: arm64: vgic-its: Die Referenz des Übersetzungscaches nur für den gelöschten Eintrag verwerfen vgic_its_invalidate_cache() durchläuft den ITS-Übersetzungscache pro ITS mit xa_for_each() und verwirft die Referenz des Caches für jeden Eintrag mit vgic_put_irq(). Dabei wird jedoch der iterierte Zeiger übergeben, nicht der von xa_erase() zurückgegebene Wert. Die Funktion wird aus Kontexten aufgerufen, die einander nicht ausschließen: Die ITS-Befehls-Handler halten its_lock, der GITS_CTLR-Schreibpfad hält cmd_lock, und der Pfad, der EnableLPIs in einem Redistributor-GICR_CTLR löscht, hält keines von beiden. Zwei oder mehr davon können denselben Cache gleichzeitig leeren, und wenn jeder denselben Eintrag beobachtet, ihn löscht und dann freigibt, wird die einzelne Referenz, die der Cache auf diesen Eintrag hält, mehr als einmal verworfen. Der Eintrag kann dann freigegeben werden, während eine ITE ihn noch abbildet. xa_erase() ist atomar und gibt den vorherigen Eintrag zurück, also gib nur den Eintrag frei, den dieser Kontext tatsächlich entfernt hat. Die Cache-Referenz wird dann genau einmal pro Eintrag verworfen, selbst wenn die Invalidierungen gleichzeitig laufen, und das Verhalten bleibt unverändert, wenn nur ein Kontext läuft.

• ITScapeExploit

  CVE-2026-46316 Guest-to-Host-KVM/arm64-Escape-Exploit, der eine Race Condition in der vGIC-ITS-Emulation ausnutzt, um vom unprivilegierten Gast aus eine Codeausführung im Host-Kernel zu erreichen.