PoC-hyökkäyskoodi julkaistu kriittiseen Linux KVM -vieras-isäntä-pakoon

Kriittiseen Linux-ytimen haavoittuvuuteen liittyvä konseptitodistus on julkaistu julkisesti. Haavoittuvuus sallii haitallisen vierasvirtuaalikoneen paeta hiekkalaatikostaan ja suorittaa komentoja isäntäkoneella täysillä ytimen oikeuksilla, mikä aiheuttaa kiireellistä huolta ARM64-pilvi-infrastruktuurin ylläpitäjille.

Haavoittuvuus

Haavoittuvuus, jota seurataan tunnuksella CVE-2026-46316 ja jota kutsutaan nimellä "ITScape", löydettiin ja raportoi tietoturvatutkija Hyunwoo Kim (@v4bel). Se kohdistuu KVM/arm64:n vGIC-ITS (virtual Generic Interrupt Controller – Interrupt Translation Service) -emulointiin ja hyödyntää kilpailutilannetta siinä, miten käännösvälimuisti käsittelee samanaikaisia mitätöintipyyntöjä.security-tracker.debian+2

Kesäkuun 10. päivänä oss-sec-postituslistalla julkaistun virallisen tiedonannon mukaan haavoittuvuus sallii "vieraan paon isäntään KVM/arm64-ympäristössä ja komentojen suorittamisen isäntäkoneella ytimen (root) oikeuksilla". Tutkijan GitHub-arkistossa todetaan, että "julkisen tiedon mukaan tämä on ensimmäinen vieras-isäntä-pako-hyökkäystutkimus, joka kohdistuu KVM/arm64:ään".securityonline+2

Tekniset yksityiskohdat

Perussyy on `vgic_its_invalidate_cache()`-funktiossa, joka käy läpi ITS-kohtaisen käännösvälimuistin ja poistaa viittaukset jokaisesta merkinnästä. Useat koodipolut — ITS-komentojen käsittelijät, GITS_CTLR-kirjoituspolku ja redistributor GICR_CTLR-polku — voivat tyhjentää saman välimuistin samanaikaisesti ilman asianmukaista poissulkemista. Kun kaksi tai useampi konteksti havaitsee ja poistaa saman merkinnän, välimuistin yksittäinen viittaus poistetaan useammin kuin kerran, mikä luo use-after-free-tilan.security-tracker.debian+1

Toisin kuin tyypilliset virtualisointipaot, jotka kohdistuvat käyttäjätilan emulaattoreihin, kuten QEMU:un, ITScape on olemassa itse KVM-ytimessä, ohittaen täysin tavalliset käyttäjätilan suojaukset. Hyökkäys vaatii vierasytimen (EL1) oikeudet tarvittavien GIC/ITS MMIO -vuorovaikutusten ajamiseen, mutta tiedonannossa todetaan, että se "käynnistää virheen pelkästään vieraan puolen toimilla paetakseen isäntään".securityonline

Korjaus ja lieventäminen

Haavoittuvuus vaikuttaa arm64-ydinversioihin huhtikuun 2024 lopusta kesäkuun 2026 alkuun. Linux-ytimen ylläpitäjät yhdistivät korjauksen, joka muuttaa mitätöintilogiikkaa siten, että `vgic_put_irq()` poistaa viittauksensa "vain xa_erase():n palauttamasta arvosta". CVE-tietue julkaistiin 9. kesäkuuta, ja PoC-koodi ilmestyi GitHubiin seuraavana päivänä.github+3

Monen vuokralaisen ARM64 KVM-ympäristöjä ajavia pilvioperaattoreita kehotetaan tarkistamaan korjauksen soveltaminen välittömästi, sillä toimivan hyökkäyskoodin julkinen saatavuus asettaa korjaamattomat järjestelmät suoraan vaaraan, että kuka tahansa vierasytimen käyttöoikeuden omaava vuokralainen voi vaarantaa isäntäkoneen.securityonline+1