CVE-2026-64561 — Zapscape:KVM/x86 Shadow-MMU-UAF, Gast-Escape zu Host-Root

HackSpeak-Verteilungsimage. Dieses Repository ist ein Verteilungsimage des vollständigen PoC + der technischen Dokumentation, die von dem Forscher Hyunwoo Kim(@v4bel) veröffentlicht wurde; Code und Dokumentation sind identisch mit dem Upstream.

⚠️ Upstream enthält keine Lizenz: Das Image verwendet gemäß Verteilungskonvention MIT License, Copyright (c) 2026 HackSpeak; die Urheberrechte am Quellcode liegen beim ursprünglichen Autor V4bel / @v4bel. Der PoC wurde nicht an echter Hardware verifiziert; bitte testen Sie ihn zuerst in einer zerstörbaren Umgebung (QEMU TCG) und verwenden Sie ihn nicht gegen nicht autorisierte Ziele.

Kurzbeschreibung der Schwachstelle

Zapscape (CVE-2026-64561) ist eine Use-After-Free-Schwachstelle in der Linux-KVM/x86-Shadow-MMU. Ein Angreifer mit Kernel-Rechten im L1-Gast (normalerweise Gast-Root) kann bei verschachtelter Virtualisierung, die einem nicht vertrauenswürdigen Gast exponiert ist, auf den Host entkommen und Code als Root ausführen.

• Grundursache: Problem mit der Reihenfolge der Stale-Root-Prüfung im rekursiven Zap-Pfad – nachdem die Quotenfreigabe die aktuelle Root ungültig gemacht hat, erstellt FNAME(fetch) weiterhin Zuordnungen unter dieser Root → ungültiges Child gelangt in active_mmu_pages → derselbe Listenknoten wird an zwei Listen angehängt → Dangling-Link + Post-free-Write;
• Exploit-Kette: Post-free-Write → zweimaliges Cross-Cache (guest_memfd-Umgebung) → KASLR-Slide leaken → Wait-Eintrag konstruieren und in log_wait einhängen → srcu_delay_timer-Callback → SRCU-Workqueue → call_usermodehelper → /bin/sh -c "umask 022; : > /Zapscape" → auf dem Host wird eine Root gehörende /Zapscape-Datei erstellt (uid 0 / mode 0644);
• Betroffene Versionen: von Commit f95eec9bed76 (2020-07, seit Linux 5.9) bis zum Fix-Commit 2abd5287f083 (2026-07-21); behoben in den stabilen Zweigen 6.6.148 / 6.12.101 / 6.18.42 / 7.1.6 / 7.2-rc5.

Umgebung und Verwendung

• Ziel: AMD verschachteltes SVM/NPT + Linux 7.1.3; empfohlen wird sicheres Testen unter QEMU TCG (QEMU v9.2.0+). Bei Intel müssen dem L1 zusätzlich EPT-Page-Walk-Length 4 und 5 exponiert werden;
• Schritte:
  1. Laden Sie den anfälligen Kernel-Quellcode v7.1.3 herunter und bauen Sie das Kernel-Image gemäß kconfig;
  2. PoC kompilieren: gcc -O2 -g -static -pthread poc.c -o poc, mit BusyBox oder Ähnlichem ein Initramfs erstellen;
  3. Starten: ./qemu.sh bzImage initramfs.cpio.gz;
  4. Führen Sie im Gast ./poc aus; nach Erfolg erscheint im Host-Wurzelverzeichnis die Root gehörende Datei /Zapscape.
• Einschränkungen: Dieser PoC ist nicht vollständig weaponized (in Cloud-Umgebungen müssen die L1-Aktionen in ein Gast-Kernelmodul umgewandelt und an die Host-Kconfig angepasst werden); wenn CONFIG_LIST_HARDENED aktiviert ist, wird das Post-free-Write blockiert und es bleibt nur ein DoS/Absturz.

Verwandte Schwachstellen derselben Serie

• Januscape (CVE-2026-53359) und ITScape (CVE-2026-46316), ebenfalls aus V4bels KVM-Escape-Serie.

Haftungsausschluss

• Nur für Sicherheitsforschung, Schwachstellenverifizierung und autorisierte Tests gedacht; bitte nur in zerstörbaren Umgebungen (VM/Container) ausführen und nicht gegen nicht autorisierte Systeme verwenden.
• Dieser PoC ist öffentlich veröffentlichter Code des Forschers und wurde nicht an echter Hardware verifiziert; der Exploit zerstört Host-Kernel-Speicherobjekte, ein Fehlschlag kann einen Host-Absturz verursachen.

Referenzlinks

• Upstream-Quellrepository (Quelle dieses PoC): https://github.com/V4bel/Zapscape
• Technische Dokumentation des Forschers (Write-up): https://github.com/V4bel/Zapscape/blob/main/assets/write-up.md
• NVD: CVE-2026-64561 — https://nvd.nist.gov/vuln/detail/CVE-2026-64561
• Upstream-Fix-Commit: 2abd5287f083
• Schwachstellen-einführender Commit: f95eec9bed76