Išleistas „PoC“ išnaudojimas kritinei „Linux KVM“ svečio ir pagrindinio kompiuterio išėjimo spragai

Viešai išleistas koncepcijos įrodymo (PoC) išnaudojimas kritinei „Linux“ branduolio spragai, leidžiančiai kenkėjiškai svečio virtualiajai mašinai pabėgti iš savo „smėlio dėžės“ ir vykdyti komandas pagrindiniame kompiuteryje su visomis branduolio teisėmis, sukėlė didelį susirūpinimą ARM64 debesijos infrastruktūros operatoriams.

Spraga

Ši spraga, sekama kaip CVE-2026-46316 ir pavadinta „ITScape“, buvo atrasta ir apie ją pranešė saugumo tyrėjas Hyunwoo Kim (@v4bel). Ji nukreipta į KVM/arm64 vGIC-ITS (virtual Generic Interrupt Controller – Interrupt Translation Service) emuliaciją, išnaudojant lenktynių sąlygą, kaip vertimo talpykla apdoroja vienalaikes negaliojimo užklausas.security-tracker.debian+2

Remiantis oficialiu atskleidimu, paskelbtu „oss-sec“ pašto sąraše birželio 10 d., spraga leidžia „svečiui pabėgti į pagrindinį kompiuterį KVM/arm64 aplinkoje ir vykdyti komandas pagrindiniame kompiuteryje su branduolio (root) teisėmis“. Tyrėjo „GitHub“ saugykloje teigiama, kad „kiek žinoma viešai, tai yra pirmasis svečio ir pagrindinio kompiuterio išėjimo išnaudojimo tyrimas, nukreiptas į KVM/arm64“.securityonline+2

Techninės detalės

Pagrindinė priežastis slypi `vgic_its_invalidate_cache()` funkcijoje, kuri peržiūri kiekvienos ITS vertimo talpyklą ir panaikina nuorodas į kiekvieną įrašą. Keli kodo keliai – ITS komandų tvarkyklės, GITS_CTLR rašymo kelias ir redistributoriaus GICR_CTLR kelias – gali vienu metu ištuštinti tą pačią talpyklą be tinkamo atskyrimo. Kai du ar daugiau kontekstų pamato ir ištrina tą patį įrašą, vienintelė talpyklos nuoroda panaikinama daugiau nei vieną kartą, sukuriant „use-after-free“ būseną.security-tracker.debian+1

Skirtingai nei įprasti virtualizacijos išėjimai, nukreipti į vartotojo erdvės emuliatorius, tokius kaip QEMU, „ITScape“ egzistuoja pačiame branduolio KVM, visiškai apeinant standartines vartotojo erdvės apsaugas. Išnaudojimui reikalingos svečio branduolio (EL1) teisės, kad būtų galima atlikti reikiamas GIC/ITS MMIO sąveikas, tačiau atskleidime pažymima, kad ji „suaktyvina klaidą vien tik svečio pusės veiksmais, kad būtų galima pabėgti į pagrindinį kompiuterį“.securityonline

Pataisa ir švelninimas

Spraga paveikia arm64 branduolio versijas nuo 2024 m. balandžio pabaigos iki 2026 m. birželio pradžios. „Linux“ branduolio prižiūrėtojai sujungė pataisą, kuri modifikuoja negaliojimo logiką taip, kad `vgic_put_irq()` panaikintų savo nuorodą „tik į reikšmę, kurią grąžina xa_erase()“. CVE įrašas buvo paskelbtas birželio 9 d., o PoC kodas „GitHub“ pasirodė kitą dieną.github+3

Debesijos operatoriai, naudojantys kelių nuomininkų ARM64 KVM aplinkas, raginami nedelsiant patikrinti, ar pataisa pritaikyta, nes viešai prieinamas veikiantis išnaudojimo kodas kelia tiesioginę grėsmę pagrindiniam kompiuteriui iš bet kurio nuomininko, turinčio svečio branduolio prieigą.securityonline+1