Bei bestimmten Linux-Konfigurationen konnte die BHI-Mitigation abgeschaltet werden, obwohl Schutz vor Angriffen vom User-Bereich in den Kernel weiterhin nötig war. Phoronix berichtete am 8. November 2026 über den Auswahlfehler und einen Korrekturvorschlag in einem x86-Pull-Request.

Wie die Auswahl der BHI-Mitigation schiefgehen konnte

Branch History Injection (BHI) ist eine Angriffsklasse, gegen die der Linux-Kernel Schutzmaßnahmen auswählt. Laut Phoronix aktivierte bhi_select_mitigation() die BHI-Mitigation nur, wenn CPU_MITIGATE_GUEST_HOST gesetzt war. Andernfalls wählte die Funktion BHI_MITIGATION_OFF, selbst wenn CPU_MITIGATE_USER_KERNEL gesetzt war.

Damit konnten zwei verschiedene Angriffswege in der Auswahl zusammenfallen: Gast-zu-Host-Schutz war nicht aktiviert, doch Schutz vor Angriffen vom User-Bereich in den Kernel blieb erforderlich. Die Mitigation konnte trotzdem ausgeschaltet werden.

Bei der BHI-Mitigation muss die Auswahl zum jeweiligen Angriffsweg passen. Auch ein Kernel ohne KVM konnte Schutz vor Angriffen vom User-Bereich in den Kernel benötigen.

Warum ein Kernel ohne KVM trotzdem BHI-Schutz brauchen konnte

KVM ermöglicht Virtualisierung im Linux-Kernel. Im von Phoronix beschriebenen Beispiel konnte CPU_MITIGATE_GUEST_HOST bei einem ohne KVM gebauten Kernel standardmäßig ausgeschaltet sein. Das sagte für sich genommen nichts darüber aus, ob auch Schutz für den User-to-Kernel-Angriffsweg entbehrlich war.

Phoronix berichtete außerdem, dass der Startparameter mitigations=auto,no_guest_host denselben Auswahlfehler bewirken konnte.

Welche Prozessoren der Bericht betraf

Für betroffene Intel-CPUs konnte der Fehler laut Phoronix dazu führen, dass BHI_DIS_S oder die BHB-Löschschleife standardmäßig fehlte. Der Bericht erwähnte auch bestimmte ARM- und AMD-Konfigurationen.

Was der x86-Pull-Request vorschlug

Der Eintrag im x86-Pull-Request auf der Linux-Kernel-Mailingliste führte die Korrektur „Select the BHI mitigation based on the attack vector properly“ auf und schrieb sie Breno Leitao zu. Der Vorschlag zielte darauf, die BHI-Mitigation anhand des jeweiligen Angriffswegs auszuwählen.

Phoronix erwartete in seinem Bericht vom 8. November 2026, dass der Patch vor Linux 7.4-rc2 einfließen werde. Außerdem seien Backports für unterstützte Kernel-Zweige vorgesehen, die bis zur Einführung von BHI im Jahr 2022 zurückreichen.