24/09/2026 · VietTechies · Biên tập
Một lỗ hổng trong mã ảo hóa ARM64 KVM của nhân Linux có thể cho phép máy ảo khách đọc và ghi bộ nhớ nhân của máy chủ khi tính năng ảo hóa lồng nhau được bật. Theo nhà nghiên cứu bảo mật Hyunwoo Kim, lỗ hổng CVE-2026-89775 có thể bị lợi dụng để thoát khỏi máy ảo khách và thực thi mã trên máy chủ. Chưa có mã khai thác nào được công bố và cũng chưa ghi nhận dấu hiệu lỗ hổng bị sử dụng trong các cuộc tấn công.
Vì sao lỗ hổng đáng chú ý
Lỗ hổng nằm trong phần KVM xử lý ảo hóa lồng nhau trên ARM64, chế độ cho phép một máy ảo khách chạy trình quản lý máy ảo riêng và tạo thêm máy ảo. Khi máy ảo khách sắp xếp bộ nhớ theo một cấu trúc nhất định, phép tính kích thước có thể cho kết quả bằng 0, khiến KVM bỏ qua thao tác vô hiệu hóa bộ đệm tra cứu địa chỉ TLB cần thiết. Một trang bộ nhớ máy chủ đã được giải phóng sau đó có thể vẫn được ánh xạ và cho phép ghi, giúp máy ảo khách đọc và ghi theo từng đơn vị 64 bit mà không kích hoạt bẫy phần cứng để chuyển quyền điều khiển về máy chủ.
Phương thức tấn công được báo cáo đòi hỏi quyền truy cập cục bộ, không thể thực hiện trực tiếp qua mạng. Trên hệ thống cho phép người dùng mở /dev/kvm, một người dùng cục bộ có thể tạo máy ảo khách rồi khai thác cùng lỗ hổng để giành quyền root, với điều kiện ảo hóa lồng nhau đã được bật. Kim xác định Red Hat Enterprise Linux 10 bị ảnh hưởng, trong khi Red Hat cho biết các phiên bản từ 6 đến 9 không bị ảnh hưởng.
Phạm vi ảnh hưởng và các bản đã vá
Ảo hóa lồng nhau trên ARM64 mặc định bị tắt. Đây là tính năng thử nghiệm phải được kích hoạt khi khởi động và yêu cầu phần cứng Armv8.4 hỗ trợ FEAT_NV2. Vì vậy, máy chủ ARM64 KVM thông thường chưa từng bật chế độ này không nằm trong đường tấn công được báo cáo, và lỗ hổng không ảnh hưởng đến mọi hệ thống triển khai ảo hóa Linux trên ARM64.
Bản vá thượng nguồn đã được đưa vào Linux 6.18.51, 7.2.5 và 7.3-rc1; các bản phân phối sẽ phát hành cập nhật theo lịch riêng. Hồ sơ của nhân Linux cho rằng đoạn mã liên quan xuất hiện từ Linux 6.16, nhưng phần đánh giá bản vá nói rằng hành vi bỏ sót thao tác vô hiệu hóa có thể bị khai thác chỉ xuất hiện từ Linux 6.17. Do đó, lịch sử phiên bản bị ảnh hưởng hiện có khác biệt về cách quy kết.
Phạm vi trên đám mây và giới hạn giảm thiểu
Cấu hình cần thiết để khai thác lỗ hổng không được cung cấp trong các máy ảo ARM tiêu chuẩn được mô tả bởi Amazon Web Services và Google Cloud. AWS chỉ liệt kê khả năng ảo hóa lồng nhau cho các máy ảo dùng bộ xử lý Intel, còn Google Cloud loại trừ máy ảo ARM khỏi tính năng này. Điều đó thu hẹp phạm vi phơi nhiễm được báo cáo đối với các dịch vụ trên, nhưng không phải là bảo đảm an toàn chung cho toàn bộ nền tảng của họ.
Với các hệ thống chưa thể cài bản vá, Red Hat cho biết hiện không có biện pháp nào đáp ứng tiêu chí của hãng để được xem là giải pháp giảm thiểu. Tính đến ngày 22/9, CVE-2026-89775 chưa có trong danh mục các lỗ hổng đã bị khai thác của CISA Mỹ và điểm dự đoán khả năng bị khai thác ở mức dưới 1%. Các nhà cung cấp chấm mức độ nghiêm trọng từ 7,8 đến 9,3 trên 10, phản ánh những đánh giá khác nhau về khả năng khai thác.
Ảnh minh họa do AI tạo.
Nguồn: New Linux Kernel Flaw Gives ARM64 KVM Guests Read-Write Access to Host Memory