CVE-2026-46316

Riepilogo

Nel kernel Linux, è stata risolta la seguente vulnerabilità: KVM: arm64: vgic-its: Rilascia il riferimento alla cache di traduzione solo per la voce cancellata vgic_its_invalidate_cache() scorre la cache di traduzione per-ITS con xa_for_each() e rilascia il riferimento della cache su ciascuna voce con vgic_put_irq(). Tuttavia, inserisce il puntatore iterato, anziché il valore restituito da xa_erase(). La funzione viene chiamata da contesti che non si escludono a vicenda: i gestori dei comandi ITS mantengono its_lock, il percorso di scrittura GITS_CTLR mantiene cmd_lock, e il percorso che cancella EnableLPIs nel GICR_CTLR di un redistributore non mantiene nessuno dei due. Due o più di questi possono svuotare la stessa cache contemporaneamente e, se ciascuno osserva la stessa voce, la cancella e poi la inserisce, il singolo riferimento che la cache mantiene su quella voce viene rilasciato più di una volta. La voce può quindi essere liberata mentre un ITE la mappa ancora. xa_erase() è atomico e restituisce la voce precedente, quindi inserisci solo la voce che questo contesto ha effettivamente rimosso. Il riferimento alla cache viene quindi rilasciato esattamente una volta per voce anche quando le invalidazioni vengono eseguite contemporaneamente, e il comportamento rimane invariato quando viene eseguito un solo contesto.

Fonti

• ITScapeExploit

  CVE-2026-46316 exploit di fuga guest-to-host KVM/arm64 che sfrutta una condizione di gara nell'emulazione vGIC-ITS per ottenere l'esecuzione di codice nel kernel host da un guest non privilegiato.