Vulnérabilité "Zapscape" : Comment une Faille KVM Permet le Contrôle Total des Hôtes Linux

Une nouvelle vulnérabilité critique du noyau Linux, baptisée "Zapscape" (CVE-2026-64561), vient d'être révélée, secouant le monde de la sécurité de l'infrastructure cloud. Cette faille permet à un attaquant disposant de privilèges noyau au sein d'une machine virtuelle invitée (L1 Guest VM) de s'échapper de l'isolation KVM et d'exécuter du code arbitraire sur le système hôte avec les privilèges root.

L'Anatomie Technique de Zapscape

Essentiellement, Zapscape est un défaut de vérification dans la gestion du shadow-MMU de KVM, conduisant à une vulnérabilité de type "use-after-free" (CWE-825). Lors de la gestion d'un défaut de page déclenché par l'invité, KVM peut récupérer des pages MMU et invalider la page racine qui est encore utilisée par le processus. Étant donné que le chemin d'exécution ne vérifie pas à nouveau la racine, KVM continue sous une racine invalidée.

Les pages enfants créées héritent de cet état invalide, ce qui crée des liens suspendus (dangling links) permettant une écriture après libération de la mémoire (post-free write).

Exploitation et Preuve de Concept (PoC)

Le chercheur en sécurité Hyunwoo Kim a publié une Preuve de Concept ciblant la technologie AMD SVM/NPT sur Linux 7.1.3. L'exploit construit une chaîne complète aboutissant à la création d'un fichier nommé /Zapscape sur l'hôte, avec les droits root.

Fait intéressant, les systèmes AMD sont vulnérables par défaut, tandis que les systèmes Intel nécessitent que les longueurs de table de pages EPT 4 et 5 soient exposées à l'invité L1.

Correction et Atténuation

Red Hat a attribué un score CVSS de 7.0 à cette vulnérabilité, qui affecte les noyaux Linux à partir de la version 5.9. Le correctif (commit 2abd5287f083) déplace la vérification de la racine après l'exécution de make_mmu_pages_available(). Les administrateurs doivent impérativement mettre à jour vers les versions stables corrigées (comme 6.6.148 ou 7.1.6).