CVE-2026-46316

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été résolue : KVM: arm64: vgic-its: Ne supprimer la référence du cache de traduction que pour l'entrée effacée vgic_its_invalidate_cache() parcourt le cache de traduction propre à chaque ITS avec xa_for_each() et supprime la référence du cache sur chaque entrée avec vgic_put_irq(). Elle place cependant le pointeur itéré, plutôt que la valeur retournée par xa_erase(). La fonction est appelée depuis des contextes qui ne s'excluent pas mutuellement : les gestionnaires de commandes ITS détiennent its_lock, le chemin d'écriture de GITS_CTLR détient cmd_lock, et le chemin qui efface EnableLPIs dans le GICR_CTLR d'un redistributor ne détient ni l'un ni l'autre. Deux ou plus de ces contextes peuvent drainer le même cache simultanément, et si chacun observe la même entrée, l'efface puis la place, la référence unique que le cache détient sur cette entrée est supprimée plus d'une fois. L'entrée peut alors être libérée alors qu'une ITE la mappe encore. xa_erase() est atomique et retourne l'entrée précédente, donc ne place que l'entrée que ce contexte a réellement supprimée. La référence du cache est alors supprimée exactement une fois par entrée, même lorsque les invalidations s'exécutent en parallèle, et le comportement est inchangé lorsqu'un seul contexte s'exécute.

• ITScapeExploit

  CVE-2026-46316 exploit d'évasion guest-to-host KVM/arm64 exploitant une condition de course dans l'émulation vGIC-ITS pour parvenir à une exécution de code dans le noyau hôte depuis un invité non privilégié.