Zapscape: Eine KVM-Schwachstelle kann den Ausbruch aus verschachtelten VMs ermöglichen

Der Fehler betrifft die KVM/x86 Shadow MMU

Die Schwachstelle CVE-2026-64561, genannt Zapscape, betrifft die Komponente KVM/x86 Shadow MMU im Linux-Kernel. Das Problem liegt in der Verwaltung der Shadow Page Tables, die zur Speicherübersetzung in verschachtelten Gästen verwendet werden.

Ein Angreifer mit Kernel-Rechten in einer virtuellen L1-Maschine – normalerweise gleichbedeutend mit Root-Rechten im Gast – kann den Fehler ausnutzen, um die KVM-Isolation zu verlassen und Code auf dem Linux-Host mit Kernel- oder Root-Rechten auszuführen.

Die öffentliche Offenlegung erfolgte am 6. August 2026 durch den Forscher Hyunwoo Kim zusammen mit einem Proof of Concept. Hinweise auf eine aktive Ausnutzung liegen nicht vor.

Eine verspätete Prüfung kann zu einem Use-after-free führen

Der Fehler entsteht durch die Reihenfolge, in der KVM den stale-Zustand der Root während der Verarbeitung eines vom Gast ausgelösten Page Faults prüft.

Unter bestimmten Bedingungen kann KVM MMU-Seiten freigeben und die Root invalidieren, die vom Fehlerbehandlungspfad noch verwendet wird. Der Code prüft diesen Zustand nicht erneut und kann unter einer inzwischen ungültigen Root neue untergeordnete Shadow Pages anlegen.

Die Seiten übernehmen den ungültigen Zustand des Parents und verbleiben unter den aktiven MMU-Seiten. Nachfolgende Operationen können dadurch eine Verknüpfung in zwei Listen duplizieren, eine Seite freigeben und dabei veraltete Referenzen hinterlassen sowie einen Schreibzugriff nach der Freigabe auslösen: eine Use-after-free-Bedingung, die von Red Hat als CWE-825 — expired pointer dereference eingestuft wird.

Der PoC demonstriert die Primitive, indem er auf dem Host eine Root gehörende Datei namens /Zapscape erstellt. Er ist jedoch kein unmittelbar gegen Cloud-Umgebungen einsetzbares Werkzeug: Er erfordert ein Kernelmodul im L1-Gast sowie Anpassungen an der Host-Kernelkonfiguration und am Memory-Backend.

Betroffene Systeme und korrigierte Versionen

Das Risiko betrifft vor allem Hosts, die Nested Virtualization für nicht vertrauenswürdige Gäste bereitstellen. Die NVD nennt Linux-Versionen ab 5.9 bis zu den folgenden korrigierten Releases als betroffen:

• 6.6.148
• 6.12.101
• 6.18.42
• 7.1.6
• 7.2-rc5

Das Problem liegt in KVM/x86, nicht in QEMU. QEMU kann für Tests verwendet werden, die Schwachstelle befindet sich jedoch in der in den Kernel integrierten KVM-Komponente und kann unabhängig von der QEMU-Emulation ausgelöst werden.

Auf Intel-Systemen müssen dem L1-Gast beide EPT Page-Walk-Längen, 4 und 5, zur Verfügung stehen. Auf AMD-Systemen ist keine entsprechende Bedingung erforderlich. Der PoC zielt auf AMD Nested SVM/NPT unter Linux 7.1.3 ab. Für kontrollierte Tests empfiehlt Kim QEMU TCG.

Bei Debian-Paketen galten am 6. August 2026 die Kernel von bullseye, bookworm und trixie, einschließlich der Security-Repositories, sowie forky als verwundbar. sid war ab Version 7.1.6-1 korrigiert. Red Hat kann Korrekturen als Backports ausliefern, ohne die Upstream-Versionszeichenfolge zu ändern. Die Versionsnummer allein reicht daher nicht zur Prüfung aus.

Patch und Maßnahmen zur Eindämmung

Die Upstream-Korrektur ist der Commit 2abd5287f083. Die Änderung verschiebt die Prüfung der stale Root hinter make_mmu_pages_available(). Wenn der Reclaim-Vorgang die aktuelle Root invalidiert, startet KVM die Fehlerbehandlung mit RET_PF_RETRY erneut, statt die ungültige Struktur weiterzuverwenden.

Administratoren sollten:

1. KVM-Hosts auf ein korrigiertes Release aktualisieren;
2. das Vendor-Paket mit dem entsprechenden Backport installieren;
3. Linux, Red Hat und Debian über die jeweiligen Tracker prüfen;
4. Nested Virtualization für nicht vertrauenswürdige Gäste nach Möglichkeit einschränken oder deaktivieren.

Der von Red Hat vorläufig angegebene Schweregrad beträgt CVSS 7.0. Die potenziellen Auswirkungen sind in Cloud- und Multi-Tenant-Umgebungen erheblich, da ein kompromittierter L1-Gast den Kernel des Hosts erreichen könnte.

Die Meldung wurde am 11. Juli 2026 an [email protected] gesendet; der Patch wurde am 21. Juli 2026 veröffentlicht und integriert. Das Problem wurde am 1. August 2026 an die Liste linux-distros gemeldet, erhielt am 4. August 2026 die Kennung CVE-2026-64561 und wurde am 6. August 2026 öffentlich gemacht.