CVE-2026-46316

요약

리눅스 커널에서 다음 취약점이 해결되었습니다: KVM: arm64: vgic-its: 삭제된 항목에 대해서만 변환 캐시 참조를 해제합니다. vgic_its_invalidate_cache()는 xa_for_each()로 ITS별 변환 캐시를 순회하며 vgic_put_irq()로 각 항목의 캐시 참조를 해제합니다. 그러나 xa_erase()가 반환한 값을 사용하는 대신, 순회 중인 포인터를 해제합니다. 이 함수는 서로 배타적이지 않은 컨텍스트에서 호출됩니다: ITS 명령 핸들러는 its_lock을 보유하고, GITS_CTLR 쓰기 경로는 cmd_lock을 보유하며, 리디스트리뷰터의 GICR_CTLR에서 EnableLPIs를 해제하는 경로는 둘 다 보유하지 않습니다. 두 개 이상의 컨텍스트가 동시에 동일한 캐시를 비울 수 있으며, 각각이 동일한 항목을 관찰하여 이를 삭제한 다음 해제하면, 캐시가 해당 항목에 대해 보유한 단일 참조가 두 번 이상 해제됩니다. 그러면 ITE가 여전히 해당 항목을 매핑하고 있는 동안 항목이 해제될 수 있습니다. xa_erase()는 원자적이며 이전 항목을 반환하므로, 이 컨텍스트가 실제로 제거한 항목만 해제하십시오. 그러면 무효화가 동시에 실행되더라도 캐시 참조는 항목당 정확히 한 번만 해제되며, 단일 컨텍스트만 실행될 때의 동작은 변경되지 않습니다.

• ITScape익스플로잇

  CVE-2026-46316 게스트-투-호스트 KVM/arm64 탈출 익스플로잇으로, vGIC-ITS 에뮬레이션의 경쟁 조건을 악용하여 권한이 없는 게스트에서 호스트 커널 코드 실행을 달성합니다.