クラウドサーバーを危険にさらす脆弱性に関する情報が最近公開されました。この脆弱性により、攻撃者は物理マシンを完全に制御できる可能性があり、クラウドインフラストラクチャプロバイダーにとっては悪夢のようなシナリオです。
CVE-2026-64561として登録されているZapscapeは、 Linux KVMハイパーバイザにおける重大な脆弱性であり、多くのプラットフォームがネストされた仮想化を有効にすることで意図せず負っているリスクを露呈します。この脆弱性により、仮想マシン（L1）でカーネル権限を持つ攻撃者は、ホストシステム（L0）上でroot権限でコードを実行でき、仮想化環境の分離が破られます。
重大な脅威とみなされているZapscapeは、仮想マシンからの脱出を容易にするだけでなく、 /dev/kvmデバイスへの書き込み権限を持つホストユーザーに対して、ローカルでの権限昇格ルートも開きます。
Red Hatのような組織は、この脆弱性を不安定性とサービス拒否に焦点を当てたCVSSスコア7.0と評価しているが、公開された概念実証（PoC）は、ホストのルートディレクトリに任意のファイルを直接作成するという、はるかに破壊的な範囲を示している。
メモリ管理ユニットの混乱
Zapscapeの動作原理は、KVMのメモリ管理ユニット（MMU）の内部、およびあるゲスト（L1）が別のサブゲスト（L2）のハイパーバイザとして機能する際にハイパーバイザがページテーブルを処理する方法に隠されています。問題は、ページフォルト処理中の論理的な順序エラーにあります。カーネルコードパスにおいて、「廃止されたルート」のチェックが、ページ取得機能の後ではなく、前に実行されていました。
この誤ったシーケンスは、典型的な解放後使用（use-after-free）シナリオを引き起こします。リカバリ中に、KVM は使用中のルートを削除して無効としてマークすることができます。しかし、ヘルスチェックが既に実行されているため、システムはもはや有効ではないルートの下でマッピングの構築を続行します。興味深いことに、このソートの問題は2008 年以来コード内に存在していましたが、2020 年 7 月に Linux カーネル 5.9 がリリースされた後、システムが単純に適用を停止したディレクティブが導入されたことで、深刻かつ悪用可能な問題となりました。
要件と制限事項
Zapscapeを悪用するには、環境が非常に具体的な要件を満たす必要があります。まず、KVMモジュールでネストされた仮想化が有効になっている必要があります。これは、 3層アーキテクチャ（L0、L1、L2）を可能にする構成です。攻撃者はL1層から攻撃を開始する必要があり、そのためにはその仮想マシンに対するroot権限が必要です。そこから、攻撃者はメモリモードを操作し、L2サブゲストの活動によってL0ホストがクォータページの取得を開始させられ、メモリ破損を引き起こします。
ハードウェアレベルでは、メーカーによって条件が異なります。ネストされたページテーブル（SVM）を使用するAMDシステムでは、脆弱性はより単純で、追加の機能は必要ありません。一方、Intelプロセッサでは、L1ゲストが4レベルおよび5レベルのEPTページウォーク機能を公開している必要があります。これにより、 Intelに対する攻撃ベクトルは、Ice Lake-SPファミリー以降の比較的新しいアーキテクチャに限定されます。
注目すべきは、公開された概念実証では制御された環境下でホストへの侵入に成功したものの、セキュリティ研究者らは、特定の再コンパイルされたカーネルでは、このエクスプロイトは攻撃者の仮想マシンをクラッシュさせるだけで、完全な脱出ではなくサービス拒否攻撃として機能すると報告している点である。
緩和策、パッチ、戦略
Zapscapeに対する決定的な解決策は、検証順序を修正するパッチによって昨年7月にLinuxリポジトリに導入されました。この修正により、古いルートのチェックがMMUページ割り当ての後に行われるようになり、ハイパーバイザが削除されたルートの下にアクティブなマッピングを作成しないことが保証されます。これらの修正は既に安定版カーネルブランチに実装されており、様々なディストリビューションで広く配布されています。
すぐにアップグレードできない管理者向けに、非常に効果的な一時的な対策があります。最優先の対策は、modprobe構成ファイル内の`kvm_amd`または`kvm_intel`モジュールに`nested=0`パラメータを渡すことで、厳密に必要でないすべてのサーバーでネストされた仮想化を無効にすることです。この対策にはモジュールの再ロードが必要となるため、アクティブな仮想マシンはすべて停止する必要があります。
最後に、さらに詳しく知りたい場合は、以下のリンクから詳細をご確認いただけます。