Phân tích lỗ hổng CVE-2026-74580: Leo thang đặc quyền và VM Escape trên Linux Vhost

• Mã định danh: CVE-2026-74580 (CVSS 8.8 - High Severity).
• Tác động: Leo thang đặc quyền cục bộ (LPE) và thoát khỏi máy ảo (VM Escape).
• Cơ chế lỗi: Lỗi cache IOTLB trong quá trình cấu hình lại virtqueue dẫn đến truy cập bộ nhớ ngoài phạm vi.
• Khuyến nghị: Cập nhật kernel lên các phiên bản đã vá hoặc hạn chế quyền truy cập vào các thiết bị vhost.

Các nhà nghiên cứu bảo mật vừa công bố bằng chứng khai thác (PoC) cho một lỗ hổng nghiêm trọng trong hệ thống vhost của Linux kernel, được định danh là CVE-2026-74580. Lỗ hổng này cho phép người dùng cục bộ chiếm quyền điều khiển root hoặc, trong các cấu hình máy ảo cụ thể, thực hiện tấn công thoát khỏi máy ảo (VM escape) để tác động trực tiếp lên máy chủ vật lý (host).

Tổng quan về lỗ hổng CVE-2026-74580

Vhost là một hệ thống con trong Linux kernel được thiết kế để tối ưu hóa hiệu suất mạng và thiết bị cho các máy ảo thông qua việc sử dụng các hàng đợi ảo (virtqueues). Lỗ hổng phát sinh từ cơ chế quản lý bộ nhớ đệm (cache) của IOTLB (Input-Output Translation Lookaside Buffer) khi hệ thống thực hiện cấu hình lại các hàng đợi này.

Khi một hàng đợi ảo được cấu hình lại (thay đổi địa chỉ hoặc kích thước), Linux kernel không thực hiện xóa các ánh xạ cũ trong bộ nhớ đệm cho các descriptor của hàng đợi. Điều này dẫn đến tình trạng 'cache hit' sai lệch, nơi hệ thống sử dụng ánh xạ cũ để dịch địa chỉ mới, tạo điều kiện cho việc truy cập vào các vùng bộ nhớ không hợp lệ.

Phân tích kỹ thuật và chuỗi tấn công

Theo báo cáo từ các nhà nghiên cứu, lỗ hổng này bắt nguồn từ hai thay đổi trước đó trong kernel: một thay đổi giới thiệu metadata cache và một thay đổi trì hoãn việc kiểm tra địa chỉ I/O của khách (guest). Chuỗi tấn công được chia thành hai kịch bản chính:

1. Leo thang đặc quyền cục bộ (Local Privilege Escalation)

Để thực hiện LPE, kẻ tấn công cần quyền truy cập vào các thiết bị vhost như /dev/vhost-net hoặc /dev/vhost-vsock. Quy trình khai thác bao gồm:

• Chuẩn bị cache: Kẻ tấn công thay đổi địa chỉ hàng đợi mà không xóa entry trong cache.
• Kích hoạt hàng đợi: Kích hoạt hàng đợi để buộc kernel sử dụng ánh xạ cũ, cho phép đọc/ghi vào bộ nhớ kernel.
• Leo thang: Sử dụng kỹ thuật đọc bộ nhớ kernel để xác định offset của KASLR, sau đó ghi đè lên modprobe_path để thực thi mã với quyền root.

# Kiểm tra quyền truy cập thiết bị vhost trên hệ thống mục tiêuls -l /dev/vhost-net /dev/vhost-vsock

2. Thoát khỏi máy ảo (VM Escape)

Kịch bản này yêu cầu máy ảo sử dụng tính năng VIRTIO_F_RING_RESET và virtual IOMMU. Khi khách reset hàng đợi, host thực hiện cấu hình lại nhưng vẫn giữ lại metadata cũ. Điều này cho phép ghi dữ liệu ra ngoài phạm vi bộ nhớ của máy ảo, làm hỏng heap của tiến trình QEMU.

⚠️ Cảnh báo quan trọng: Việc sở hữu quyền truy cập vào các thiết bị vhost (như thuộc nhóm kvm) trên hệ thống chưa được vá lỗi tương đương với việc sở hữu quyền truy cập đặc quyền.

Hướng dẫn phòng thủ và khắc phục

Các nhà phát triển Linux đã phát hành bản vá chính thức. Quản trị viên hệ thống cần ưu tiên cập nhật kernel lên các phiên bản an toàn sau: 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9, 7.2.

Trong trường hợp chưa thể cập nhật ngay lập tức, các biện pháp giảm thiểu rủi ro sau đây cần được áp dụng:

• Hạn chế quyền truy cập: Giới hạn quyền đọc/ghi đối với các node thiết bị /dev/vhost-*.
• Cô lập container: Không truyền các thiết bị vhost vào các container không tin cậy.
• Cấu hình IOMMU: Tránh phơi bày các thiết bị vhost với iommu_platform cho các máy ảo không tin cậy.

Để biết thêm chi tiết kỹ thuật, bạn có thể tham khảo tài liệu từ GitHub hoặc các báo cáo từ các phòng thí nghiệm bảo mật uy tín đã công bố phân tích chi tiết về lỗ hổng này.