L’8 novembre 2026 Phoronix ha segnalato un errore nella selezione della mitigazione BHI in Linux: alcune configurazioni potevano disattivarla anche quando serviva ancora protezione contro gli attacchi dal livello utente al kernel. Una correzione proposta figurava in un pull request x86.
Per capire se la mitigazione BHI serve, conta il vettore d’attacco da proteggere, non soltanto la configurazione di KVM.
Dove si inceppava la selezione della mitigazione
BHI, abbreviazione di Branch History Injection, è una classe di attacchi per cui Linux applica mitigazioni specifiche. Secondo Phoronix, la funzione bhi_select_mitigation() attivava la protezione solo se era impostato CPU_MITIGATE_GUEST_HOST; in caso contrario poteva scegliere BHI_MITIGATION_OFF, anche con CPU_MITIGATE_USER_KERNEL attivo.
I due flag riguardano vettori diversi: uno copre gli attacchi da guest a host, l’altro quelli dal livello utente al kernel. La selezione descritta da Phoronix poteva quindi spegnere la mitigazione quando il primo vettore non era attivo, pur restando necessario proteggere il secondo.
Perché un kernel senza KVM poteva aver bisogno della protezione
Nell’esempio riportato da Phoronix, un kernel compilato senza KVM poteva avere CPU_MITIGATE_GUEST_HOST disattivato per impostazione predefinita. Questo non eliminava la necessità di proteggersi dal vettore da utente a kernel. Phoronix ha riferito che lo stesso esito poteva verificarsi avviando il sistema con mitigations=auto,no_guest_host.
Che cosa proponeva la correzione x86
L’estratto del pull request x86 elenca una modifica per selezionare la mitigazione BHI in base al vettore d’attacco e la attribuisce a Breno Leitao. La correzione mirava a scegliere la protezione pertinente al vettore, anziché far dipendere la decisione soltanto dal flag guest-to-host.
Per le CPU Intel interessate, Phoronix ha riferito che la selezione errata poteva lasciare disattivato per impostazione predefinita BHI_DIS_S oppure il ciclo di pulizia del BHB. Il resoconto menzionava anche alcune configurazioni ARM e AMD.
Phoronix riferì che l’integrazione era attesa prima di Linux 7.4-rc2 e che erano previsti backport per i rami supportati risalenti al 2022, anno in cui fu introdotta BHI.
