Vydán PoC exploit pro kritickou zranitelnost úniku z hosta na hostitele v Linux KVM

Byl veřejně vydán proof-of-concept exploit pro kritickou zranitelnost v linuxovém jádře, která umožňuje škodlivému hostovanému virtuálnímu stroji uniknout ze svého sandboxu a spouštět příkazy na hostiteli s plnými oprávněními jádra, což vyvolává naléhavé obavy u provozovatelů cloudové infrastruktury ARM64.

Zranitelnost

Chyba, sledovaná jako CVE-2026-46316 a nazvaná „ITScape“, byla objevena a nahlášena bezpečnostním výzkumníkem Hyunwoo Kimem (@v4bel). Cílí na emulaci vGIC-ITS (virtual Generic Interrupt Controller – Interrupt Translation Service) v KVM/arm64 a zneužívá stav závodu v tom, jak překladová mezipaměť zpracovává souběžné požadavky na zneplatnění.security-tracker.debian+2

Podle oficiálního zveřejnění na e-mailovém seznamu oss-sec ze dne 10. června zranitelnost umožňuje „únik hosta na hostitele v prostředí KVM/arm64 a spouštění příkazů na hostiteli s oprávněním jádra (root)“. V repozitáři výzkumníka na GitHubu se uvádí, že „podle nejlepšího veřejného vědomí jde o první výzkum exploitu úniku z hosta na hostitele zaměřený na KVM/arm64“.securityonline+2

Technické podrobnosti

Hlavní příčina spočívá ve funkci `vgic_its_invalidate_cache()`, která prochází překladovou mezipaměť pro každý ITS a uvolňuje reference u každé položky. Více cest kódu – obslužné rutiny příkazů ITS, cesta zápisu GITS_CTLR a cesta redistributoru GICR_CTLR – mohou vyprázdnit stejnou mezipaměť současně bez řádného vyloučení. Když dva nebo více kontextů pozorují a vymažou stejnou položku, jediná reference mezipaměti je uvolněna více než jednou, což vytváří stav use-after-free.security-tracker.debian+1

Na rozdíl od typických úniků z virtualizace, které cílí na emulátory uživatelského prostoru, jako je QEMU, ITScape existuje přímo v KVM v jádře, čímž zcela obchází standardní ochrany uživatelského prostoru. Zneužití vyžaduje oprávnění hostovaného jádra (EL1) k řízení nezbytných interakcí GIC/ITS MMIO, ale zveřejnění uvádí, že „spouští chybu pouze akcemi na straně hosta pro únik na hostitele“.securityonline

Oprava a zmírnění

Zranitelnost postihuje verze jádra arm64 od konce dubna 2024 do začátku června 2026. Správci linuxového jádra sloučili opravu, která upravuje logiku zneplatnění tak, aby `vgic_put_irq()` uvolnila svou referenci „pouze na hodnotě vrácené funkcí xa_erase()“. Záznam CVE byl publikován 9. června a kód PoC se na GitHubu objevil následující den.github+3

Provozovatelé cloudů provozující víceuživatelská prostředí ARM64 KVM jsou vyzýváni, aby okamžitě ověřili, zda je oprava aplikována, protože veřejná dostupnost funkčního kódu exploitu vystavuje neopravené systémy přímému riziku kompromitace hostitele ze strany jakéhokoli nájemce s přístupem k hostovanému jádru.securityonline+1