Ευπάθεια στον πυρήνα Linux επιτρέπει πρόσβαση στους ARM64 KVM Guests

Μία νέα ευπάθεια στον κώδικα εικονικοποίησης KVM του πυρήνα Linux για επεξεργαστές ARM64 μπορεί να αφήσει ένα απελευθερωμένο κομμάτι μνήμης του host εκτεθειμένο σε μία guest εικονική μηχανή σε hosts με ενεργοποιημένη την nested virtualization.

Δείτε επίσης: Ευπάθεια 9 ετών στον Linυx Kernel επιτρέπει root πρόσβαση

Το σφάλμα, που παρακολουθείται ως CVE-2026-89775, επιτρέπει σε έναν guest να διαβάζει και να γράφει στη μνήμη του πυρήνα του host, και ο ερευνητής που το ανακάλυψε λέει ότι μπορεί να χρησιμοποιηθεί για να διαφύγει από τον guest και να εκτελέσει κώδικα στη μηχανή του host. Ο επηρεασμένος κώδικας είναι μέρος του κύριου πυρήνα Linux για ARM64 και έχει διορθωθεί στις εκδόσεις Linux 6.18.51, 7.2.5, και 7.3-rc1.

Η nested virtualization επιτρέπει σε έναν guest να εκτελεί τον δικό του hypervisor, επιτρέποντάς του να φιλοξενεί εικονικές μηχανές. Στους ARM64, είναι απενεργοποιημένη από προεπιλογή. Είναι μία πειραματική λειτουργία κατά την εκκίνηση που απαιτεί υλικό Armv8.4 με μια λειτουργία που ονομάζεται FEAT_NV2, οπότε ένας απλός ARM64 KVM host που δεν την ενεργοποιεί ποτέ είναι εκτός της αναφερόμενης διαδρομής επίθεσης.

Η ευπάθεια βρίσκεται στο μέρος του KVM που διαχειρίζεται την nested virtualization στους ARM64. Όταν ένας guest διαμορφώνει τη μνήμη του με έναν συγκεκριμένο τρόπο, ένας υπολογισμός μεγέθους βγαίνει μηδενικός, και ένα βήμα που θα έπρεπε να καθαρίσει παλιές εγγραφές από την cache διευθύνσεων του επεξεργαστή, μια ακύρωση TLB, παραλείπεται.

Μία σελίδα μνήμης του host που έχει απελευθερωθεί παραμένει τότε χαρτογραφημένη και εγγράψιμη και ο guest μπορεί να τη διαβάσει και να τη γράψει 64 bits τη φορά, χωρίς να υπάρχει παγίδα υλικού για να επιστρέψει ο έλεγχος στον host.

Ο Hyunwoo Kim, ο ερευνητής ασφαλείας που ανέφερε την ευπάθεια και την αποκάλυψε στις 16 Σεπτεμβρίου, λέει ότι ένας guest μπορεί να χρησιμοποιήσει αυτό για να διαφύγει στον host, ξεφεύγοντας από τη δική του εικονική μηχανή για να εκτελέσει κώδικα στη βασική μηχανή. Δεν έχει δημοσιευθεί κώδικας εκμετάλλευσης, και δεν υπάρχει ένδειξη ότι η ευπάθεια έχει χρησιμοποιηθεί σε επίθεση.

Δείτε επίσης: CVE-2026-53266: Κρίσιμη ευπάθεια στο ebtables SNAT του Linυx Kernel

Υπάρχει ένας δεύτερος τρόπος να καταχραστεί κανείς την ευπάθεια. Σε συστήματα όπου οποιοσδήποτε χρήστης μπορεί να ανοίξει το /dev/kvm, τη συσκευή που χρησιμοποιεί ένα πρόγραμμα για να δημιουργήσει μια εικονική μηχανή, ένας τοπικός χρήστης θα μπορούσε να δημιουργήσει έναν guest και να χρησιμοποιήσει το ίδιο σφάλμα για να αποκτήσει πρόσβαση root, λέει ο Kim.

Αναφέρει το Red Hat Enterprise Linux, όπου αυτή η συσκευή είναι ανοιχτή σε όλους τους χρήστες από προεπιλογή. Η Red Hat καταγράφει την έκδοση 10 του πυρήνα της ως επηρεασμένη και τις εκδόσεις 6 έως 9 ως μη επηρεασμένες. Αυτή η διαδρομή εξακολουθεί να χρειάζεται ο host να έχει ενεργοποιημένη την nested virtualization. Στην upstream, η ευπάθεια έχει διορθωθεί στις εκδόσεις Linυx 6.18.51, 7.2.5, και 7.3-rc1. Οι διανομές αποστέλλουν τη διόρθωση με τα δικά τους προγράμματα, και η κατάσταση διαφέρει ανάλογα με την έκδοση.

Για hosts που δεν μπορούν ακόμα να επιδιορθωθούν, η Red Hat λέει ότι καμία μετριαστική λύση δεν πληροί τα κριτήριά της για μια εναλλακτική λύση. Το μόνο σίγουρο είναι το πεδίο εφαρμογής: η επίθεση στοχεύει μόνο hosts με ενεργοποιημένη την nested virtualization, που δεν είναι η προεπιλογή στους ARM64.

Οι προμηθευτές βαθμολογούν την ευπάθεια από 7.8 έως 9.3 στα 10. Συμφωνούν ότι ο αντίκτυπος είναι υψηλός και η επίθεση είναι τοπική, που σημαίνει ότι δεν μπορεί να εκτοξευθεί μέσω δικτύου. Η διαφορά αντικατοπτρίζει το πόσο δύσκολη θεωρεί κάθε προμηθευτής ότι είναι η εκμετάλλευση της ευπάθειας, και η Ubuntu, που δείχνει το 9.3, θέτει τη δική της προτεραιότητα σε μεσαίο επίπεδο. Ως τις 22 Σεπτεμβρίου, η ευπάθεια δεν ήταν στον κατάλογο εκμεταλλευόμενων ευπαθειών των Η.Π.Α. CISA, και η προβλεπόμενη βαθμολογία εκμετάλλευσης ήταν κάτω από 1%.

Η αποκάλυψη εγείρει το ερώτημα αν οι tenants στο cloud θα μπορούσαν να χρησιμοποιήσουν την ευπάθεια για να εισβάλουν στις μηχανές ενός παρόχου. Στους μεγαλύτερους παρόχους, η διαμόρφωση που χρειάζεται δεν προσφέρεται: η Amazon Web Services καταγράφει μόνο instances βασισμένα σε Intel για nested virtualization, και η Google Cloud αποκλείει τις ARM εικονικές μηχανές της από αυτό.

Δείτε επίσης: ZcopyReaper: Κρίσιμη ευπάθεια στον Linux Kernel οδηγεί σε root πρόσβαση

Το CVE-2026-89775 είναι η τέταρτη διαφυγή από guest σε host στο KVM που έχει αποκαλύψει ο Kim φέτος. Δύο ήταν στην έκδοση x86 του KVM: το Januscape τον Ιούλιο και το Zapscape τον Αύγουστο. Αυτό που μοιάζει περισσότερο είναι το ITScape, μια διαφυγή ARM64 KVM που δημοσίευσε τον Ιούνιο, την οποία αποκάλεσε την πρώτη τέτοια διαφυγή που δημοσιεύθηκε δημόσια στους ARM64.