Uma nova vulnerabilidade descoberta no kernel do Linux, batizada de Zapscape, permite que um atacante com privilégios administrativos numa máquina virtual convidada escape do isolamento e execute código diretamente no sistema anfitrião. Conforme detalhado na documentação publicada no GitHub pelo investigador de segurança Hyunwoo Kim, o risco afeta as infraestruturas que expõem a virtualização aninhada a convidados não confiáveis.
O problema, registado como CVE-2026-64561, afeta a unidade de gestão de memória (MMU) sombra do KVM/x86, responsável por gerir as tabelas de páginas sombra utilizadas na tradução de memória de convidados aninhados. O investigador, que já havia reportado vulnerabilidades como o Januscape (CVE-2026-53359) e o ITScape (CVE-2026-46316), submeteu a questão aos responsáveis do kernel a 11 de julho de 2026, culminando na divulgação pública a 6 de agosto.
A mecânica do ataque na gestão de memória
A raiz da Zapscape reside numa falha de ordenação na verificação de raízes desatualizadas na contabilidade da MMU sombra do KVM. Durante o tratamento de uma falha de página acionada pelo sistema convidado, o KVM pode recuperar páginas da MMU e invalidar a página raiz que ainda está a ser utilizada pelo processo de tratamento. Como o caminho de execução não volta a verificar a raiz, o KVM continua a operar sob o estado invalidado, resultando numa vulnerabilidade de uso após libertação (use-after-free).
As páginas filhas criadas sob esta raiz herdam o estado inválido, permanecendo na lista de páginas ativas da MMU do KVM. Limpezas posteriores podem anexar a mesma ligação a duas listas em simultâneo e, em seguida, libertar a página enquanto restam referências desatualizadas. O código de prova de conceito público criado por Kim utiliza este método exato para construir uma cadeia completa capaz de criar um ficheiro pertencente ao utilizador root, denominado /Zapscape, no host.
A execução bem-sucedida exige privilégios de nível de kernel no convidado L1, o que na prática significa acesso root. Em sistemas com processadores Intel, é necessário que os comprimentos de pesquisa de páginas EPT 4 e 5 estejam expostos ao convidado L1, uma condição que não tem qualquer equivalente exigido em arquiteturas AMD. O teste prático do investigador foi direcionado precisamente para a tecnologia SVM/NPT aninhada da AMD na versão 7.1.3 do kernel.
Correções disponíveis e mitigação do risco
A correção principal já foi integrada através do commit 2abd5287f083, que move a verificação da raiz desatualizada para um momento posterior à função make_mmu_pages_available(). Se a recuperação de memória invalidar a raiz atual, o KVM reinicia agora o processo de falha com a instrução RET_PF_RETRY, travando o mapeamento sob a raiz inválida.
A Base de Dados Nacional de Vulnerabilidades (NVD) lista o Linux 5.9 e versões posteriores como afetados, identificando como seguras as atualizações estáveis 6.6.148, 6.12.101, 6.18.42, 7.1.6 e 7.2-rc5. A Red Hat atribuiu uma pontuação CVSS preliminar de 7,0 à vulnerabilidade e classificou a questão como CWE-825.
O estado dos pacotes de atualização depende agora dos rastreadores de cada fornecedor de sistemas operativos. O projeto Debian assinalou os repositórios bullseye, bookworm, trixie e forky como vulneráveis, enquanto a versão sid já se encontra corrigida com a atualização 7.1.6-1. Apesar da gravidade técnica e da existência de código de demonstração, Kim esclarece que não se trata de um ataque armado pronto a usar em ambientes cloud comerciais, uma vez que a exploração no mundo real exigiria adaptar o código à configuração exata do kernel e ao backend de memória de cada anfitrião.
Nenhum comentário
Seja o primeiro!