PoC-exploit släppt för kritisk Linux KVM-sårbarhet för flykt från gäst till värd

Ett konceptbevis (PoC) för en kritisk sårbarhet i Linux-kärnan som tillåter en skadlig virtuell gästmaskin att fly från sin sandbox och köra kommandon på värden med fulla kärnprivilegier har släppts offentligt, vilket skapar brådskande oro för operatörer av ARM64-molninfrastruktur.

Sårbarheten

Felet, som spåras som CVE-2026-46316 och kallas "ITScape", upptäcktes och rapporterades av säkerhetsforskaren Hyunwoo Kim (@v4bel). Den riktar sig mot KVM/arm64s vGIC-ITS (virtual Generic Interrupt Controller – Interrupt Translation Service) emulering och utnyttjar ett kapplöpningstillstånd i hur översättningscachen hanterar samtidiga ogiltigförklaringsförfrågningar.security-tracker.debian+2

Enligt det officiella avslöjandet som postades på oss-sec-e-postlistan den 10 juni, tillåter sårbarheten "en gästflykt till värden i en KVM/arm64-miljö och körning av kommandon på värden med kärn- (root) privilegium". Forskarens GitHub-förvar uppger att "såvitt det är offentligt känt är detta den första forskningen på gäst-till-värd-flykt riktad mot KVM/arm64".securityonline+2

Tekniska detaljer

Grundorsaken ligger i `vgic_its_invalidate_cache()`-funktionen, som går igenom översättningscachen per ITS och släpper referenser på varje post. Flera kodvägar – ITS-kommando-hanterare, GITS_CTLR-skrivvägen och redistributör GICR_CTLR-vägen – kan tömma samma cache samtidigt utan korrekt exkludering. När två eller flera kontexter observerar och raderar samma post, släpps cachéns enda referens mer än en gång, vilket skapar ett use-after-free-tillstånd.security-tracker.debian+1

Till skillnad från typiska virtualiseringsflykter som riktar sig mot emulatorer i användarutrymmet som QEMU, existerar ITScape i själva KVM-kärnan och kringgår standardiserade skydd i användarutrymmet helt. Utnyttjande kräver privilegier i gästkärnan (EL1) för att driva de nödvändiga GIC/ITS MMIO-interaktionerna, men avslöjandet noterar att den "utlöser felet med åtgärder på gästsidan enbart för att fly till värden".securityonline

Rättelse och begränsning

Sårbarheten påverkar arm64-kärnversioner från slutet av april 2024 till början av juni 2026. En rättelse slogs samman av Linux-kärnans underhållare som ändrar ogiltigförklaringslogiken så att `vgic_put_irq()` släpper sin referens "endast på värdet som returneras av xa_erase()". CVE-posten publicerades den 9 juni och PoC-koden dök upp på GitHub dagen efter.github+3

Molnoperatörer som kör ARM64 KVM-miljöer med flera klienter uppmanas att verifiera att rättelsen tillämpas omedelbart, eftersom den offentliga tillgängligheten av fungerande utnyttjandekod sätter oåtgärdade system i direkt risk för värdkompromettering från vilken klient som helst med tillgång till gästkärnan.securityonline+1