ITScape: Ensimmäinen KVM/arm64-vieras-isäntähyökkäys – kriittinen haavoittuvuus uhkaa ARM-pilviympäristöjä

Mikä ITScape on?

ITScape (CVE-2026-46316) on kriittinen haavoittuvuus Linux-kernelin KVM-hypervisorin (Kernel-based Virtual Machine) ARM64-arkkitehtuuria tukevassa osassa. Kyseessä on ensimmäinen julkinen, toimivaksi todistettu vieras-isäntähyökkäys KVM/arm64-ympäristössä, joka ei perustu käyttäjätilan komponenttien, kuten QEMU:n, virheisiin . Käytännössä tämä tarkoittaa, että hyökkääjä voi paeta virtuaalikoneensa hiekkalaatikosta ja ottaa koko fyysisen isäntäpalvelimen hallintaansa kernel-tason oikeuksin.

Tietoturvatutkija Hyunwoo Kim julkisti haavoittuvuuden ja siihen liittyvän todistuskonseptihyökkäyksen (Proof-of-Concept, PoC) kesäkuussa 2026. Haavoittuvuuden juurisyy on kilpailutilanne (race condition) KVM:n sisäisen virtuaalisen keskeytyscontrollerin, vGIC:n, Interrupt Translation Service (ITS) -komponentissa.

Mikä tekee tästä haavoittuvuudesta niin vaarallisen?

Vieras-isäntähyökkäykset (guest-to-host escape) ovat hypervisor-maailman pahin uhkakuva. Ne murtavat sen perustavanlaatuisen eristyksen, johon koko pilvilaskenta luottaa. Aiemmat julkiset KVM-hyökkäykset ovat kohdistuneet lähinnä x86-arkkitehtuuriin ja usein emulaattorin, kuten QEMU:n, virheisiin . ITScape on historiallinen, koska se osoittaa, että ARM64-pohjaisesta virtuaalikoneesta on mahdollista murtautua ulos suoraan kernelin KVM-koodin virheen kautta.

Tämä on erityisen huolestuttavaa suurille pilvipalveluille, käyttävätpä ne AWS Graviton-, Ampere Altra- tai muita ARM64-suorittimia. Onnistunut hyökkäys voi johtaa:

• Mielivaltaiseen isäntäkoneen kernel-muistin lukemiseen ja kirjoittamiseen.
• Täydelliseen koodin suoritukseen isäntäkoneen korkeimmilla oikeustasoilla (ring 0).
• Sivuttaisliikkeeseen samalla palvelimella oleviin muihin virtuaalikoneisiin, kontteihin tai verkkoon.

Useimmat tietoturvatahot ovat arvioineet haavoittuvuuden CVSS-arvosanaksi yli 9.0, mikä kuvastaa sen kriittistä vakavuutta.

Haavoittuvuuden tekninen juurisyy

Haavoittuvuus sijaitsee funktiossa vgic_its_invalidate_cache(), joka vastaa LPI-keskeytysten (Logical Processor Interrupt) käännösvälimuistin (translation cache) tyhjentämisestä.

Kun kernelin täytyy mitätöidä välimuistimerkintöjä, se käy ne läpi xa_for_each()-iteraattorilla ja vapauttaa jokaisen merkinnän viitemäärän kutsumalla vgic_put_irq()-funktiota. Ongelma on, että iteraattori voi palauttaa merkintöjä, jotka toinen samanaikainen operaatio on jo poistanut välimuistista – esimerkiksi virtuaalikoneen toiselta suoritinytimeltä lähetetty DISCARD ITS -komento .

Tämä johtaa klassiseen use-after-free (UAF) -haavoittuvuuteen: kaksi suorituspolkua yrittää käsitellä jo vapautettua muistialuetta. Hyökkääjä voi tarkoin ajoitetuilla operaatioilla manipuloida kernelin muistikekoa ja lopulta kaapata koko isäntäjärjestelmän kontrollin.

Saman koodin aiempaa versiota koski haavoittuvuus CVE-2024-26598, joka korjasi osittain samankaltaisen UAF-ongelman käännösvälimuistin osumapolulla. Tuo korjaus ei kuitenkaan kattanut tyhjennyspolkua, jättäen ITScapen hyödynnettäväksi eri laukaisusekvenssillä.

Korjaus

Ylävirran (upstream) Linux-kerneliin tehty korjaus muuttaa vgic_its_invalidate_cache()-funktion logiikkaa niin, että vgic_put_irq() kutsutaan vain arvoon, jonka xa_erase() palauttaa. xa_erase() poistaa alkion atomisesti ja palauttaa sen, tai palauttaa NULL, jos alkio oli jo poistettu. Näin viitemäärä vapautetaan täsmälleen kerran, eliminoiden tuplavapautuksen ja UAF-mahdollisuuden. Korjauksen otsikko on "KVM: arm64: vgic-its: Drop the translation cache reference only for the erased entry".

Korjaus julkaistiin ylävirran kernelissä kesäkuun 2026 alussa, ja se on nopeasti viety 6.x-stabiileihin kernel-sarjoihin. Suuret jakelut, kuten Red Hat, SUSE ja Debian, ovat julkaisseet takaisinsovitetut korjaukset omille tuetuille kernel-versioilleen.

Haavoittuvat versiot ja aiheutuneet riskit

• Milloin virhe tuotiin: Huhtikuun 2024 lopulla, kun LPI-käännösvälimuisti lisättiin KVM/arm64:een.
• Haavoittuva aikaikkuna: Ylävirran kernelit, jotka on rakennettu suunnilleen huhtikuusta 2024 kesäkuun 2026 alkuun.
• Korjattu versio: Ylävirran korjaus on saatavilla kesäkuun 2026 alusta lähtien uusimmissa 6.x-stabiileissa kerneleissä ja jakeluiden takaisinsovituksissa.

Julkinen hyväksikäyttökoodi

Hyunwoo Kim julkaisi GitHubissa toimivan hyväksikäyttökoodin noin 9.–10. kesäkuuta 2026. Repositorio sisältää täyden lähdekoodin, vaiheittaiset toisto-ohjeet ja teknisen kuvauksen hyväksikäyttötekniikasta . Hyökkäys perustuu samanaikaisten vCPU-säikeiden koordinointiin, jotka suorittavat DISCARD-komentoja ja välimuistikyselyitä, osuen täsmälleen UAF-tilanteeseen.

Toimivan PoC:n julkinen saatavuus tarkoittaa, että haavoittuvuuden aseistaminen on hyökkääjille erittäin helppoa, ja aktiiviset hyökkäykset ovat hyvin todennäköisiä.

Toimintaohjeet ARM64-pilvioperaattoreille

Jos hallinnoit monivuokralaisia ARM64 KVM -infrastruktuureja, käsittele tätä välittömänä hätäpäivitystarpeena.

1. Asenna isäntäkoneen kernel-korjaus nyt. Käytä uusinta -stabiilia kerneliä, joka sisältää kesäkuun 2026 alun korjauksen, tai jakelusi toimittamaa korjauspakettia.
2. Poista kernelin sisäinen vGIC-ITS käytöstä epäluotetuilta vierailijoilta, jos et voi korjata kerneliä välittömästi. Tämä voidaan tehdä esimerkiksi QEMU:n käynnistysparametreillä, joko pakottamalla ITS-emulointi käyttäjätilaan tai olemalla paljastamatta ITS-ominaisuuksia virtuaalikoneille.
3. Älä luota vieras-VM:n suojaamiseen. Tämä on hypervisor-tason virhe, eikä siihen ole kiertotietä virtuaalikoneen sisältä.
4. Auditoi palvelinkantasi. Etsi kaikki ARM64 KVM -isännät, joissa on haavoittuva kernel ja joissa vGIC-ITS on käytössä.
5. Tarkkaile hyökkäysindikaattoreita. Julkisen PoC:n vuoksi aktiivinen skannaus ja murtautumisyritykset ovat erittäin todennäköisiä.