ITScape: פריצת הדרך הראשונה בעולם מ-מכונה וירטואלית אל המארח ב-KVM/arm64

למה זה חשוב: בריחה ראשונה מ-KVM/arm64 אל המארח

בריחות ממכונה וירטואלית אל המארח הן נדירות, אך נחשבות לקטגוריית הבאגים המסוכנת ביותר בהיפרווייזרים (Hypervisors), מכיוון שהן שוברות את חומת הבידוד עליה מתבסס מחשוב הענן. בעוד שמתקפות דומות בעבר כוונו לרוב למערכות x86 (לעיתים דרך QEMU או קוד ייעודי למעבדי AMD), ITScape היא ההוכחה הראשונה לפריצה מתוך מכונת ARM64 וירטואלית דרך קוד הליבה של KVM עצמו, ללא צורך בבאגים ברכיבי אמולציה חיצוניים .

עבור ספקי ענן המריצים שרתי ARM64 בסביבות מרובות-דיירים (Multi-Tenant), כמו AWS Graviton או Ampere Altra, תוקף יכול לבצע:

• קריאה וכתיבה לזיכרון ליבת המארח באופן שרירותי
• הסלמה לביצוע קוד ברמת Ring 0 על המארח
• תנועה רוחבית למכונות וירטואליות אחרות, קונטיינרים, או רשת המארח

צוותי אבטחה רבים דירגו את החומרה של הפרצה מעל 9.0 בסולם CVSS, המשקף את רמת הסיכון הקריטית .

שורש הבעיה לפרטי פרטים

הקוד הפגיע ממוקם בנתיב ניקוי מטמון תרגום ה-LPI. כאשר הליבה צריכה לנקות ערכים מהמטמון, היא עוברת על מבנה הנתונים XArray באמצעות xa_for_each() ומשחררת את מונה ההפניות. הבעיה היא ש-xa_for_each() עלול להחזיר ערכים שכבר נמחקו על ידי פעולה מקבילה — למשל, פקודת DISCARD ITS שנשלחה מ-vCPU אחר. לולאת הניקוי עדיין מורידה את ההפניה על הערך שכבר הוסר, מה שמוביל לשחרור כפול ובסופו של דבר ל-Use-After-Free .

פגיעות קודמת באותו רכיב, CVE-2024-26598, טופלה בעבר באופן חלקי על ידי העלאת מונה ההפניות בתוך vgic_its_check_cache() לפני שחרור המנעול. אולם, תיקון זה לא כיסה את נתיב הניקוי, והותיר את תנאי המרוץ ניתן לניצול .

התיקון

התיקון הרשמי משנה את הפונקציה vgic_its_invalidate_cache() כך שהקריאה ל-vgic_put_irq() מתבצעת אך ורק על הערך שמוחזר מפונקציית xa_erase(), ולא על כל ערך שהאיטרטור נוגע בו. הפונקציה xa_erase() מוחקת ערך ומוציאה אותו באופן אטומי — או מחזירה NULL אם הערך כבר לא היה קיים. לכן, התיקון מבטיח שמונה ההפניות יורד בדיוק פעם אחת, ומונע את חלון השחרור הכפול. התיקון שולב בליבת לינוקס בתחילת יוני 2026 והופץ במהירות לגרסאות היציבות של הליבה . הפצות מרכזיות כמו Red Hat, SUSE ו-Debian כבר הפיצו עדכוני אבטחה ייעודיים .

גרסאות מושפעות

• החל מ: סוף אפריל 2024, עם הוספת מטמון תרגום ה-LPI ל-KVM/arm64
• חלון פגיעות: ליבות שנבנו מאפריל 2024 עד תחילת יוני 2026
• תוקן: התיקון שולב רשמית בלינוקס בתחילת יוני 2026; כלול בגרסאות היציבות האחרונות

קוד ניצול להוכחת היתכנות (PoC)

Hyunwoo Kim שחרר לציבור קוד ניצול פועל ב-GitHub בסביבות 9-10 ביוני 2026. המאגר כולל קוד מקור מלא, הוראות שחזור שלב אחר שלב, ותיאור טכני של שיטת הניצול . הקוד מפעיל את תנאי המרוץ באמצעות תיאום בין תהליכוני vCPU, אשר שולחים בו-זמנית פקודות DISCARD ומבצעים חיפושים במטמון התרגום. בכך, הוא מנחית במדויק את הפגיעה לשימוש בזיכרון ששוחרר ומשיג ביצוע קוד על המארח.

הזמינות הציבורית של קוד ניצול אמין פירושה שגורמי תקיפה וסורקי פגיעויות אוטומטיים יכולים למנף את הפרצה במאמץ מינימלי, מה שמקצר משמעותית את חלון הזמן בין החשיפה לתקיפות פעילות.

צעדי מנע דחופים למפעילי ענן ARM64

אם אתם מפעילים תשתית KVM מבוססת ARM64 בסביבה מרובת-דיירים — AWS Graviton, Ampere Altra, או כל פלטפורמה דומה — יש לנהוג במתווה חירום:

1. עדכנו את ליבת המארח עכשיו. החילו את גרסת הליבה היציבה העדכנית ביותר שכוללת את התיקון, או את החבילה הייעודית שההפצה שלכם סיפקה .
2. השביתו את ה-vGIC-ITS המובנה בליבה עבור מכונות אורחות לא מהימנות, אם אין באפשרותכם להתקין את התיקון באופן מיידי. ב-QEMU, ניתן לעשות זאת על ידי העברת האמולציה למרחב המשתמש, או על ידי אי-חשיפת יכולות GICv3 ITS לדיירים .
3. אל תסתמכו על הגנות צד-לקוח במכונה האורחת. זהו באג ברמת ההיפרווייזר, ואין מעקף אמיתי מתוך המכונה הווירטואלית .
4. ביקורת צי - סרקו את כלל השרתים לגרסאות פגיעות. כל מארח ARM64 KVM המריץ ליבה מהשנתיים האחרונות ועושה שימוש ב-vGIC-ITS נמצא בסיכון .
5. נטרו אחר ניסיונות ניצול. עם זמינות קוד תקיפה ציבורי, ניסיונות סריקה וחדירה סבירים ביותר .