CVE-2026-64561

概要

Linux カーネルにおいて、以下の脆弱性が解決されました: KVM: x86: MMU ページを利用可能にした*後*に、無効/古いルートをチェックする シャドウ MMU 用に MMU ページを利用可能にした後、「古い」ページフォールト、すなわち無効および/または古いルートのチェックを行います。シャドウページの再利用によって使用中のルートがザップされ、つまり無効とマークされた場合、KVM は無効なルートにメモリをマッピングしようとします。それ自体は、無効なルートへのページングは「問題ない」のですが、子シャドウページは親のロールを継承するため、マップ/フェッチ中に作成された子ページはすべて無効なページとして作成され、無効なページがアクティブな MMU ページのリストに決して存在しないという KVM の不変条件に違反します。なお、根本的な欠陥は、KVM が 2008 年に無効なルートの追跡を開始して以来存在していました(コミット 2e53d63acba7、「KVM: MMU: ignore zapped root pagetables」)が、実際の深刻さが現れたのは 2020 年(Linux 5.9)に、無効なシャドウページがアクティブなページのリストに存在できないという不変条件が導入されてからです。注2: 子シャドウページを作成する際に role.invalid を継承することも、決して理想的ではありません。この欠陥は別途対処されます。

• CVE-2026-64561PoC

  Zapscape (CVE-2026-64561) KVM/x86シャドウMMU UAFゲストからホストへのエスケープPoCミラー — V4bel/@v4bel、MIT; 許可されたセキュリティテスト用

• CVE-2026-64561PoC

  CVE-2026-64561

• ZapscapePoC

  CVE-2026-64561 の PoC エクスプロイト。KVM/x86 シャドウ MMU の use-after-free（解放後使用）脆弱性であり、ゲストからホストへの脱出を可能にし、ホスト上でカーネルルート権限によるコード実行を実現します。