تفاصيل ثغرة "Zapscape" المرعبة: كيف يهرب القراصنة من الآلة الافتراضية للسيطرة على خوادم لينكس؟

في تطور خطير يهدد البنية التحتية لمقدمي الخدمات السحابية، تم الكشف عن ثغرة أمنية جديدة في نواة لينكس (Linux Kernel) أُطلق عليها اسم "Zapscape" وتحمل المعرف (CVE-2026-64561). هذه الثغرة تسمح للمهاجمين الذين يمتلكون صلاحيات داخل آلة افتراضية (L1 Guest VM) بالهروب من عزل نظام KVM وتنفيذ تعليمات برمجية خبيثة بصلاحيات عليا (Root) على الخادم المضيف (Host).

كيف تعمل ثغرة Zapscape تقنياً؟

تكمن المشكلة الأساسية في خطأ برمجي يتعلق بترتيب التحقق من الجذور القديمة (stale-root check ordering) داخل وحدة إدارة الذاكرة الظلية (shadow-MMU) الخاصة بنظام KVM. هذا الخلل يؤدي إلى ثغرة من نوع "استخدام بعد التحرير" (Use-After-Free) أو ما يعرف بـ CWE-825.

عندما يقوم النظام بمعالجة خطأ في الصفحة (page fault) تم تشغيله بواسطة الضيف، يمكن لـ KVM استرداد صفحات MMU وإبطال صفحة الجذر التي لا تزال تُستخدم في مسار معالجة الخطأ. ونظراً لأن المسار لا يقوم بالتحقق من الجذر مرة أخرى، يستمر KVM في العمل تحت جذر تم إبطاله بالفعل. ينتج عن هذا إنشاء صفحات فرعية ترث الحالة الباطلة من الصفحة الأم، مما يؤدي في النهاية إلى إنشاء روابط معلقة (Dangling Links) وكتابة بيانات بعد تحرير الذاكرة (Post-free write).

إثبات المفهوم (PoC) ومخاطر الاستغلال

الباحث الأمني Hyunwoo Kim، الذي اكتشف الثغرة، نشر إثباتاً للمفهوم (Proof of Concept) يستهدف تقنية AMD SVM/NPT على نواة لينكس 7.1.3. يقوم هذا الاستغلال ببناء سلسلة كاملة تنتهي بإنشاء ملف باسم /Zapscape على الخادم المضيف بصلاحيات الجذر (Root).

ومن المثير للاهتمام أن الثغرة تعمل على أنظمة AMD دون شروط إضافية، بينما تتطلب في أنظمة Intel أن يتم كشف طول مسار صفحة EPT (4 و 5) للضيف L1.

التصحيح والحلول المتاحة

تم تصنيف الثغرة بدرجة خطورة عالية (CVSS 7.0) من قبل Red Hat. وتؤثر الثغرة على إصدارات لينكس بدءاً من 5.9. وقد تم دمج الإصلاح في التحديثات المستقرة (مثل 6.6.148 و 7.1.6). يعتمد الإصلاح (Commit 2abd5287f083) على نقل عملية التحقق من الجذر القديم لتكون بعد دالة make_mmu_pages_available(). هذا الاكتشاف يأتي كحلقة جديدة في سلسلة اكتشافات الباحث Kim، والتي تضمنت سابقاً ثغرات مماثلة مثل Januscape و ITScape.