Un exploit PoC publié pour une faille critique d’évasion invité-hôte dans Linux KVM

Une preuve de concept pour une vulnérabilité critique du noyau Linux, permettant à une machine virtuelle invitée malveillante de s'échapper de son bac à sable et d'exécuter des commandes sur l'hôte avec des privilèges noyau complets, a été rendue publique, soulevant des inquiétudes urgentes pour les opérateurs d'infrastructure cloud ARM64.

La vulnérabilité

La faille, répertoriée sous le nom de CVE-2026-46316 et surnommée "ITScape", a été découverte et signalée par le chercheur en sécurité Hyunwoo Kim (@v4bel). Elle cible l'émulation vGIC-ITS (Virtual Generic Interrupt Controller – Interrupt Translation Service) de KVM/arm64, exploitant une condition de concurrence dans la manière dont le cache de traduction gère les demandes d'invalidation simultanées.security-tracker.debian+2

Selon la divulgation officielle publiée sur la liste de diffusion oss-sec le 10 juin, la vulnérabilité permet "une évasion de l'invité vers l'hôte dans un environnement KVM/arm64 et l'exécution de commandes sur l'hôte avec des privilèges noyau (root)". Le dépôt GitHub du chercheur indique que "selon les connaissances publiques, il s'agit de la première recherche d'exploit d'évasion invité-hôte ciblant KVM/arm64".securityonline+2

Détails techniques

La cause profonde réside dans la fonction `vgic_its_invalidate_cache()`, qui parcourt le cache de traduction par ITS et supprime les références sur chaque entrée. Plusieurs chemins de code — gestionnaires de commandes ITS, chemin d'écriture GITS_CTLR et chemin redistributeur GICR_CTLR — peuvent vider le même cache simultanément sans exclusion appropriée. Lorsque deux contextes ou plus observent et effacent la même entrée, la référence unique du cache est supprimée plus d'une fois, créant une condition de type use-after-free.security-tracker.debian+1

Contrairement aux évasions de virtualisation classiques qui ciblent les émulateurs d'espace utilisateur comme QEMU, ITScape existe au sein même du KVM du noyau, contournant entièrement les protections standard de l'espace utilisateur. L'exploitation nécessite des privilèges de noyau invité (EL1) pour piloter les interactions MMIO GIC/ITS nécessaires, mais la divulgation note qu'elle "déclenche le bug avec des actions côté invité uniquement pour s'échapper vers l'hôte".securityonline

Correctif et atténuation

La vulnérabilité affecte les versions du noyau arm64 allant de fin avril 2024 à début juin 2026. Un correctif a été fusionné par les mainteneurs du noyau Linux, modifiant la logique d'invalidation afin que `vgic_put_irq()` supprime sa référence "uniquement sur la valeur renvoyée par xa_erase()". L'enregistrement CVE a été publié le 9 juin, et le code PoC est apparu sur GitHub le lendemain.github+3

Les opérateurs cloud gérant des environnements KVM ARM64 multi-locataires sont invités à vérifier immédiatement l'application du correctif, car la disponibilité publique du code d'exploitation fonctionnel expose les systèmes non corrigés à un risque direct de compromission de l'hôte par tout locataire ayant accès au noyau invité.securityonline+1