Zapscape: vulnérabilité KVM qui pourrait échapper à la VM et prendre le contrôle de l'hôte

Zapscape est l'étiquette qui a reçu une vulnérabilité critique détectée dans le sous-système KVM du noyau Linux qui gère le MMU "Shadow" pour la traduction de mémoire dans des environnements de virtualisation imbriqués. L'échec, tracé comme CVE-2026-64561, permet à un attaquant qui a déjà des privilèges de noyau dans une machine L1 virtuelle (c'est-à-dire normalement root dans cette VM) d'échapper à l'isolement de KVM et d'exécuter le code avec des privilèges d'hôte. Bien que le vecteur nécessite un contexte de privilèges élevés dans le L1 et des conditions spécifiques dans le CPU, l'impact potentiel sur les environnements qui exposent la virtualisation imbriquée à des invités peu fiables est important: un invité malveillant pourrait compromettre l'hôte et, par extension, d'autres VM et charges de travail sur cet hôte.

Techniquement, la vulnérabilité est un problème d'ordre dans l'essai de racines obsolètes (root-stale) dans la comptabilité de Shadow-MMU qui peut produire une utilisation après utilisation. Lors du traitement d'une faute de page causée par l'invité, KVM peut réclamer des pages MMU et invalider l'ombre@-@ racine MMU qui est toujours utilisé dans le chemin de la manipulation de l'absence. Comme la route ne revérifie pas cette racine, KVM peut continuer à créer des pages de fille sous une racine invalide, conduisant finalement à des liens suspendus et des scripts post-libération. Chercheur Hyunwoo Kim a publié une démonstration technique et une preuve de concept publique qui montre comment, à partir de ce primitif, il est possible d'exécuter une chaîne complète d'exploitation capable de créer un fichier dans l'hôte (par exemple / Zapscape) appartenant à la racine de l'hôte.

Il y a des conditions spécifiques pour que l'attaque soit exploitable : en plus de l'exigence habituelle de privilèges du noyau au sein de L1, dans les systèmes Intel, il est nécessaire d'exposer à l'invité L1 la longueur de Page-walk de EFA à la fois 4 et 5 ; AMD n'exige pas cette condition supplémentaire et le PoC public de Kim est adressé à SVM / NPT dans AMD sur Linux 7.1.3. Il est important de souligner que QEMU n'est pas la composante vulnérable: la défaillance vit dans le code du noyau de KVM et peut être déclenchée indépendamment de l'émulateur ; Kim recommande même d'utiliser QEMU TCG pour des tests PoC sûrs car QEMU lui-même n'est pas la surface exploitable.

Le panorama des patchs est déjà clair : l'arrangement en amont a été fusionné (commit 2abd5287f083) et déplace la vérification de la racine de blocage après avoir rendu _ mmu _ pages _ disponibles (), provoquant, si la revendication a invalidé la racine actuelle, KVM de redémarrer la défaillance avec RET _ PF _ RETRY plutôt que de continuer sur une racine invalide. Le NVD énumère le noyau à partir de 5.9 comme étant affecté à des versions parchées stables; les versions avec l'arrangement en amont comprennent 6.6.148, 6.12.101, 6.18.42 et 7.1.6. Les gestionnaires devraient également examiner les avis de distribution parce que de nombreux distributeurs (p. ex. Red Hat) appliquent des correctifs de rétroportation dans des paquets dont les numéros ne sont pas en amont. Un suivi officiel est disponible au NVD et le commit dans le dépôt du noyau: NVD - CVE-2026-64561 et commit 2Abd5287f083 sur git. noyau.

En termes de risque réel et d'atténuation opérationnelle: Kim précise que le PoC n'est pas une « arme prête au nuage » immédiate; une explosion dans la production nécessiterait le transport d'actions L1 vers un module noyau dans l'invité et l'adaptation de l'opération à la configuration du noyau hôte et à son moteur mémoire. Toutefois, l'existence de preuves publiques exige une action rapide. Red Hat a émis une cote préliminaire CVSS 7.0 et classé le problème comme CWE-825 (déréférence atoned pointer), ce qui souligne la gravité et la possibilité d'escalade au contrôle de l'hôte.

Si vous gérez l'infrastructure basée sur KVM et surtout si vous exposez la virtualisation imbriquée ou fournissez aux clients ou aux utilisateurs des MV « capables de nicher », les mesures immédiates recommandées sont: appliquer les correctifs ou paquets officiels de votre distributeur qui incluent la correction, ou s'il n'est pas possible de stationner immédiatement, désactiver l'exposition de la virtualisation imbriquée à des invités peu fiables. En outre, vous avez entendu quels invités ont des privilèges de noyau ou un accès au matériel qui permet d'activer les conditions d'exploitation, et minimise la distribution des capacités de virtualisation dans des environnements multi-tenus. Vérifiez les traceurs de sécurité de votre distribution parce que le statut et le numéro de version peuvent varier si le fournisseur a téléchargé le correctif.

Pour les équipes internes de réponse et de recherche qui souhaitent reproduire ou analyser le problème, le PoC public de Kim est disponible avec son analyse technique; l'utilisation de QEMU TCG pour tester réduit le risque de dommages accidentels en ne comptant pas sur l'accélération matérielle. Ne pas utiliser les tests PoC dans les environnements de production ou sur les hôtes partagés sans isolement strict. Les liens du chercheur et l'avis en amont vous permettent de comprendre la technique et de vérifier le patch appliqué dans l'arbre officiel du noyau.

Zapscape fait partie, dans le contexte, d'une série de découvertes récentes de KVM qui comprennent des échecs antérieurs tels que Januscape (CVE-2026-53359) et ITScape (CVE-2026-46316), qui montrent que la complexité du code Shadow-MMU et la virtualisation imbriquée demeurent une surface critique. La leçon opérationnelle est de prioriser les correctifs du noyau dans les hôtes de virtualisation, de réduire l'exposition des fonctionnalités avancées aux clients peu fiables et de maintenir des politiques de privilèges strictes au sein des VM. Pour des confirmations spécifiques et des guides de remise en état de votre distribution, consultez également les pages de sécurité et les notes de lancement de votre fournisseur : par exemple, les pages Red Hat sur CVE et les dépôts de noyau de vos distributions.

Sources et références pour suivre la réponse : l'enregistrement officiel CVE dans le NVD, le noyau s'engage sur le patch et les pages de sécurité des distributeurs comme Red Hat. Vérifiez ces ressources pour vérifier que vos hôtes sont dans des versions séparées ou que vos paquets incluent le backport correspondant avant de considérer un environnement sûr contre CVE-2026-64561.