ITScape: Ensimmäinen KVM/arm64-vieras-isäntähyökkäys – kriittinen haavoittuvuus uhkaa ARM-pilviympäristöjä
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla. Virhe on kilpailutilanne vGIC ITS käännösvälimuistin mitätöinnissä, joka johtaa use after free tilaan.
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla.
Virhe on kilpailutilanne vGIC ITS käännösvälimuistin mitätöinnissä, joka johtaa use after free tilaan.
Monivuokralaisia ARM64 palvelimia (kuten AWS Graviton) ylläpitävien operaattoreiden on asennettava korjaus välittömästi.
What is the CVE-2026-46316 ("ITScape") vulnerability in Linux KVM/arm64's vGIC-ITS emulation, including its root cause as a race condition iITScape is the first publicly documented guest-to-host escape exploit for KVM on arm64.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the CVE-2026-46316 ("ITScape") vulnerability in Linux KVM/arm64's vGIC-ITS emulation, including its root cause as a race condition i. Article summary: Here is the full breakdown of **CVE-2026-46316 ("ITScape")**, based on the available evidence.. Topic tags: general, general web, user generated, government. Reference image context from search candidates: Reference image 1: visual subject "| CVE-2026-7572An off-by-one error (CWE-193) in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows" source context "Latest Linux Vulnerabilities" Reference image 2: visual subject "# CVE-2026-23425: Linux Kernel Privilege Escalation Flaw. CVE-2026-23425 is a privilege escalation vulnerability in the Linux kernel affecting KVM ARM64 ID register i
openai.com
Mikä ITScape on?
ITScape (CVE-2026-46316) on kriittinen haavoittuvuus Linux-kernelin KVM-hypervisorin (Kernel-based Virtual Machine) ARM64-arkkitehtuuria tukevassa osassa. Kyseessä on ensimmäinen julkinen, toimivaksi todistettu vieras-isäntähyökkäys KVM/arm64-ympäristössä, joka ei perustu käyttäjätilan komponenttien, kuten QEMU:n, virheisiin . Käytännössä tämä tarkoittaa, että hyökkääjä voi paeta virtuaalikoneensa hiekkalaatikosta ja ottaa koko fyysisen isäntäpalvelimen hallintaansa kernel-tason oikeuksin.
Tietoturvatutkija Hyunwoo Kim julkisti haavoittuvuuden ja siihen liittyvän todistuskonseptihyökkäyksen (Proof-of-Concept, PoC) kesäkuussa 2026. Haavoittuvuuden juurisyy on kilpailutilanne (race condition) KVM:n sisäisen virtuaalisen keskeytyscontrollerin, vGIC:n, Interrupt Translation Service (ITS) -komponentissa.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ITScape: Ensimmäinen KVM/arm64-vieras-isäntähyökkäys – kriittinen haavoittuvuus uhkaa ARM-pilviympäristöjä"?
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla.
What are the key points to validate first?
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla. Virhe on kilpailutilanne vGIC ITS käännösvälimuistin mitätöinnissä, joka johtaa use after free tilaan.
What should I do next in practice?
Monivuokralaisia ARM64 palvelimia (kuten AWS Graviton) ylläpitävien operaattoreiden on asennettava korjaus välittömästi.
ITScape: Ensimmäinen KVM/arm64-vieras-isäntähyökkäys – kriittinen haavoittuvuus uhkaa ARM-pilviympäristöjä
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla. Virhe on kilpailutilanne vGIC ITS käännösvälimuistin mitätöinnissä, joka johtaa use after free tilaan.
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla.
Virhe on kilpailutilanne vGIC ITS käännösvälimuistin mitätöinnissä, joka johtaa use after free tilaan.
Monivuokralaisia ARM64 palvelimia (kuten AWS Graviton) ylläpitävien operaattoreiden on asennettava korjaus välittömästi.
What is the CVE-2026-46316 ("ITScape") vulnerability in Linux KVM/arm64's vGIC-ITS emulation, including its root cause as a race condition iITScape is the first publicly documented guest-to-host escape exploit for KVM on arm64.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the CVE-2026-46316 ("ITScape") vulnerability in Linux KVM/arm64's vGIC-ITS emulation, including its root cause as a race condition i. Article summary: Here is the full breakdown of **CVE-2026-46316 ("ITScape")**, based on the available evidence.. Topic tags: general, general web, user generated, government. Reference image context from search candidates: Reference image 1: visual subject "| CVE-2026-7572An off-by-one error (CWE-193) in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows" source context "Latest Linux Vulnerabilities" Reference image 2: visual subject "# CVE-2026-23425: Linux Kernel Privilege Escalation Flaw. CVE-2026-23425 is a privilege escalation vulnerability in the Linux kernel affecting KVM ARM64 ID register i
openai.com
Mikä ITScape on?
ITScape (CVE-2026-46316) on kriittinen haavoittuvuus Linux-kernelin KVM-hypervisorin (Kernel-based Virtual Machine) ARM64-arkkitehtuuria tukevassa osassa. Kyseessä on ensimmäinen julkinen, toimivaksi todistettu vieras-isäntähyökkäys KVM/arm64-ympäristössä, joka ei perustu käyttäjätilan komponenttien, kuten QEMU:n, virheisiin . Käytännössä tämä tarkoittaa, että hyökkääjä voi paeta virtuaalikoneensa hiekkalaatikosta ja ottaa koko fyysisen isäntäpalvelimen hallintaansa kernel-tason oikeuksin.
Tietoturvatutkija Hyunwoo Kim julkisti haavoittuvuuden ja siihen liittyvän todistuskonseptihyökkäyksen (Proof-of-Concept, PoC) kesäkuussa 2026. Haavoittuvuuden juurisyy on kilpailutilanne (race condition) KVM:n sisäisen virtuaalisen keskeytyscontrollerin, vGIC:n, Interrupt Translation Service (ITS) -komponentissa.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ITScape: Ensimmäinen KVM/arm64-vieras-isäntähyökkäys – kriittinen haavoittuvuus uhkaa ARM-pilviympäristöjä"?
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla.
What are the key points to validate first?
ITScape (CVE 2026 46316) on kriittinen vieras isäntähyökkäyshaavoittuvuus Linux KVM:ssä ARM64 alustoilla. Virhe on kilpailutilanne vGIC ITS käännösvälimuistin mitätöinnissä, joka johtaa use after free tilaan.
What should I do next in practice?
Monivuokralaisia ARM64 palvelimia (kuten AWS Graviton) ylläpitävien operaattoreiden on asennettava korjaus välittömästi.
Mikä tekee tästä haavoittuvuudesta niin vaarallisen?
Vieras-isäntähyökkäykset (guest-to-host escape) ovat hypervisor-maailman pahin uhkakuva. Ne murtavat sen perustavanlaatuisen eristyksen, johon koko pilvilaskenta luottaa. Aiemmat julkiset KVM-hyökkäykset ovat kohdistuneet lähinnä x86-arkkitehtuuriin ja usein emulaattorin, kuten QEMU:n, virheisiin . ITScape on historiallinen, koska se osoittaa, että ARM64-pohjaisesta virtuaalikoneesta on mahdollista murtautua ulos suoraan kernelin KVM-koodin virheen kautta.
Tämä on erityisen huolestuttavaa suurille pilvipalveluille, käyttävätpä ne AWS Graviton-, Ampere Altra- tai muita ARM64-suorittimia. Onnistunut hyökkäys voi johtaa:
Mielivaltaiseen isäntäkoneen kernel-muistin lukemiseen ja kirjoittamiseen.
Sivuttaisliikkeeseen samalla palvelimella oleviin muihin virtuaalikoneisiin, kontteihin tai verkkoon.
Useimmat tietoturvatahot ovat arvioineet haavoittuvuuden CVSS-arvosanaksi yli 9.0, mikä kuvastaa sen kriittistä vakavuutta.
Haavoittuvuuden tekninen juurisyy
Haavoittuvuus sijaitsee funktiossa vgic_its_invalidate_cache(), joka vastaa LPI-keskeytysten (Logical Processor Interrupt) käännösvälimuistin (translation cache) tyhjentämisestä.
Kun kernelin täytyy mitätöidä välimuistimerkintöjä, se käy ne läpi xa_for_each()-iteraattorilla ja vapauttaa jokaisen merkinnän viitemäärän kutsumalla vgic_put_irq()-funktiota. Ongelma on, että iteraattori voi palauttaa merkintöjä, jotka toinen samanaikainen operaatio on jo poistanut välimuistista – esimerkiksi virtuaalikoneen toiselta suoritinytimeltä lähetetty DISCARD ITS -komento .
Tämä johtaa klassiseen use-after-free (UAF) -haavoittuvuuteen: kaksi suorituspolkua yrittää käsitellä jo vapautettua muistialuetta. Hyökkääjä voi tarkoin ajoitetuilla operaatioilla manipuloida kernelin muistikekoa ja lopulta kaapata koko isäntäjärjestelmän kontrollin.
Saman koodin aiempaa versiota koski haavoittuvuus CVE-2024-26598, joka korjasi osittain samankaltaisen UAF-ongelman käännösvälimuistin osumapolulla. Tuo korjaus ei kuitenkaan kattanut tyhjennyspolkua, jättäen ITScapen hyödynnettäväksi eri laukaisusekvenssillä.
Korjaus
Ylävirran (upstream) Linux-kerneliin tehty korjaus muuttaa vgic_its_invalidate_cache()-funktion logiikkaa niin, että vgic_put_irq() kutsutaan vain arvoon, jonka xa_erase() palauttaa. xa_erase() poistaa alkion atomisesti ja palauttaa sen, tai palauttaa NULL, jos alkio oli jo poistettu. Näin viitemäärä vapautetaan täsmälleen kerran, eliminoiden tuplavapautuksen ja UAF-mahdollisuuden. Korjauksen otsikko on "KVM: arm64: vgic-its: Drop the translation cache reference only for the erased entry".
Korjaus julkaistiin ylävirran kernelissä kesäkuun 2026 alussa, ja se on nopeasti viety 6.x-stabiileihin kernel-sarjoihin. Suuret jakelut, kuten Red Hat, SUSE ja Debian, ovat julkaisseet takaisinsovitetut korjaukset omille tuetuille kernel-versioilleen.
Haavoittuvat versiot ja aiheutuneet riskit
Milloin virhe tuotiin: Huhtikuun 2024 lopulla, kun LPI-käännösvälimuisti lisättiin KVM/arm64:een.
Haavoittuva aikaikkuna: Ylävirran kernelit, jotka on rakennettu suunnilleen huhtikuusta 2024 kesäkuun 2026 alkuun.
Korjattu versio: Ylävirran korjaus on saatavilla kesäkuun 2026 alusta lähtien uusimmissa 6.x-stabiileissa kerneleissä ja jakeluiden takaisinsovituksissa.
Julkinen hyväksikäyttökoodi
Hyunwoo Kim julkaisi GitHubissa toimivan hyväksikäyttökoodin noin 9.–10. kesäkuuta 2026. Repositorio sisältää täyden lähdekoodin, vaiheittaiset toisto-ohjeet ja teknisen kuvauksen hyväksikäyttötekniikasta . Hyökkäys perustuu samanaikaisten vCPU-säikeiden koordinointiin, jotka suorittavat DISCARD-komentoja ja välimuistikyselyitä, osuen täsmälleen UAF-tilanteeseen.
Toimivan PoC:n julkinen saatavuus tarkoittaa, että haavoittuvuuden aseistaminen on hyökkääjille erittäin helppoa, ja aktiiviset hyökkäykset ovat hyvin todennäköisiä.
Toimintaohjeet ARM64-pilvioperaattoreille
Jos hallinnoit monivuokralaisia ARM64 KVM -infrastruktuureja, käsittele tätä välittömänä hätäpäivitystarpeena.
Asenna isäntäkoneen kernel-korjaus nyt. Käytä uusinta -stabiilia kerneliä, joka sisältää kesäkuun 2026 alun korjauksen, tai jakelusi toimittamaa korjauspakettia.
Poista kernelin sisäinen vGIC-ITS käytöstä epäluotetuilta vierailijoilta, jos et voi korjata kerneliä välittömästi. Tämä voidaan tehdä esimerkiksi QEMU:n käynnistysparametreillä, joko pakottamalla ITS-emulointi käyttäjätilaan tai olemalla paljastamatta ITS-ominaisuuksia virtuaalikoneille.
Älä luota vieras-VM:n suojaamiseen. Tämä on hypervisor-tason virhe, eikä siihen ole kiertotietä virtuaalikoneen sisältä.
Auditoi palvelinkantasi. Etsi kaikki ARM64 KVM -isännät, joissa on haavoittuva kernel ja joissa vGIC-ITS on käytössä.
Tarkkaile hyökkäysindikaattoreita. Julkisen PoC:n vuoksi aktiivinen skannaus ja murtautumisyritykset ovat erittäin todennäköisiä.
Mikä tekee tästä haavoittuvuudesta niin vaarallisen?
Vieras-isäntähyökkäykset (guest-to-host escape) ovat hypervisor-maailman pahin uhkakuva. Ne murtavat sen perustavanlaatuisen eristyksen, johon koko pilvilaskenta luottaa. Aiemmat julkiset KVM-hyökkäykset ovat kohdistuneet lähinnä x86-arkkitehtuuriin ja usein emulaattorin, kuten QEMU:n, virheisiin . ITScape on historiallinen, koska se osoittaa, että ARM64-pohjaisesta virtuaalikoneesta on mahdollista murtautua ulos suoraan kernelin KVM-koodin virheen kautta.
Tämä on erityisen huolestuttavaa suurille pilvipalveluille, käyttävätpä ne AWS Graviton-, Ampere Altra- tai muita ARM64-suorittimia. Onnistunut hyökkäys voi johtaa:
Mielivaltaiseen isäntäkoneen kernel-muistin lukemiseen ja kirjoittamiseen.
Sivuttaisliikkeeseen samalla palvelimella oleviin muihin virtuaalikoneisiin, kontteihin tai verkkoon.
Useimmat tietoturvatahot ovat arvioineet haavoittuvuuden CVSS-arvosanaksi yli 9.0, mikä kuvastaa sen kriittistä vakavuutta.
Haavoittuvuuden tekninen juurisyy
Haavoittuvuus sijaitsee funktiossa vgic_its_invalidate_cache(), joka vastaa LPI-keskeytysten (Logical Processor Interrupt) käännösvälimuistin (translation cache) tyhjentämisestä.
Kun kernelin täytyy mitätöidä välimuistimerkintöjä, se käy ne läpi xa_for_each()-iteraattorilla ja vapauttaa jokaisen merkinnän viitemäärän kutsumalla vgic_put_irq()-funktiota. Ongelma on, että iteraattori voi palauttaa merkintöjä, jotka toinen samanaikainen operaatio on jo poistanut välimuistista – esimerkiksi virtuaalikoneen toiselta suoritinytimeltä lähetetty DISCARD ITS -komento .
Tämä johtaa klassiseen use-after-free (UAF) -haavoittuvuuteen: kaksi suorituspolkua yrittää käsitellä jo vapautettua muistialuetta. Hyökkääjä voi tarkoin ajoitetuilla operaatioilla manipuloida kernelin muistikekoa ja lopulta kaapata koko isäntäjärjestelmän kontrollin.
Saman koodin aiempaa versiota koski haavoittuvuus CVE-2024-26598, joka korjasi osittain samankaltaisen UAF-ongelman käännösvälimuistin osumapolulla. Tuo korjaus ei kuitenkaan kattanut tyhjennyspolkua, jättäen ITScapen hyödynnettäväksi eri laukaisusekvenssillä.
Korjaus
Ylävirran (upstream) Linux-kerneliin tehty korjaus muuttaa vgic_its_invalidate_cache()-funktion logiikkaa niin, että vgic_put_irq() kutsutaan vain arvoon, jonka xa_erase() palauttaa. xa_erase() poistaa alkion atomisesti ja palauttaa sen, tai palauttaa NULL, jos alkio oli jo poistettu. Näin viitemäärä vapautetaan täsmälleen kerran, eliminoiden tuplavapautuksen ja UAF-mahdollisuuden. Korjauksen otsikko on "KVM: arm64: vgic-its: Drop the translation cache reference only for the erased entry".
Korjaus julkaistiin ylävirran kernelissä kesäkuun 2026 alussa, ja se on nopeasti viety 6.x-stabiileihin kernel-sarjoihin. Suuret jakelut, kuten Red Hat, SUSE ja Debian, ovat julkaisseet takaisinsovitetut korjaukset omille tuetuille kernel-versioilleen.
Haavoittuvat versiot ja aiheutuneet riskit
Milloin virhe tuotiin: Huhtikuun 2024 lopulla, kun LPI-käännösvälimuisti lisättiin KVM/arm64:een.
Haavoittuva aikaikkuna: Ylävirran kernelit, jotka on rakennettu suunnilleen huhtikuusta 2024 kesäkuun 2026 alkuun.
Korjattu versio: Ylävirran korjaus on saatavilla kesäkuun 2026 alusta lähtien uusimmissa 6.x-stabiileissa kerneleissä ja jakeluiden takaisinsovituksissa.
Julkinen hyväksikäyttökoodi
Hyunwoo Kim julkaisi GitHubissa toimivan hyväksikäyttökoodin noin 9.–10. kesäkuuta 2026. Repositorio sisältää täyden lähdekoodin, vaiheittaiset toisto-ohjeet ja teknisen kuvauksen hyväksikäyttötekniikasta . Hyökkäys perustuu samanaikaisten vCPU-säikeiden koordinointiin, jotka suorittavat DISCARD-komentoja ja välimuistikyselyitä, osuen täsmälleen UAF-tilanteeseen.
Toimivan PoC:n julkinen saatavuus tarkoittaa, että haavoittuvuuden aseistaminen on hyökkääjille erittäin helppoa, ja aktiiviset hyökkäykset ovat hyvin todennäköisiä.
Toimintaohjeet ARM64-pilvioperaattoreille
Jos hallinnoit monivuokralaisia ARM64 KVM -infrastruktuureja, käsittele tätä välittömänä hätäpäivitystarpeena.
Asenna isäntäkoneen kernel-korjaus nyt. Käytä uusinta -stabiilia kerneliä, joka sisältää kesäkuun 2026 alun korjauksen, tai jakelusi toimittamaa korjauspakettia.
Poista kernelin sisäinen vGIC-ITS käytöstä epäluotetuilta vierailijoilta, jos et voi korjata kerneliä välittömästi. Tämä voidaan tehdä esimerkiksi QEMU:n käynnistysparametreillä, joko pakottamalla ITS-emulointi käyttäjätilaan tai olemalla paljastamatta ITS-ominaisuuksia virtuaalikoneille.
Älä luota vieras-VM:n suojaamiseen. Tämä on hypervisor-tason virhe, eikä siihen ole kiertotietä virtuaalikoneen sisältä.
Auditoi palvelinkantasi. Etsi kaikki ARM64 KVM -isännät, joissa on haavoittuva kernel ja joissa vGIC-ITS on käytössä.
Tarkkaile hyökkäysindikaattoreita. Julkisen PoC:n vuoksi aktiivinen skannaus ja murtautumisyritykset ovat erittäin todennäköisiä.
