Linuxカーネルにおいて、ARM64アーキテクチャのKVMハイパーバイザーに影響を与える重大な脆弱性が発見されました。この脆弱性は、仮想マシンとホスト間において重要なセキュリティの欠陥を引き起こし、仮想化環境のセキュリティを脅かします。修正プログラムは利用可能ですが、システム管理者には注意が必要です。
ゲストシステムとホストシステムの境界は、良い古い田舎のダムのように堅固であるべきです。しかし、CVE-2026-89775脆弱性は、境界が漏れる可能性があることを証明しました。2025年5月に導入された計算の誤りにより、ARM64上のネストされた仮想化を持つVMがホストのメモリを読み書きできる可能性があります。迅速に自分のディストリビューションの更新を確認することをお勧めします。
KVMのARM64における目立たないが重要な脆弱性
この脆弱性は、Linuxカーネルに統合されたハイパーバイザーであるKVMによるメモリページテーブルの管理に影響を与えます。ここで、メモリ無効化サイズの計算における型の欠陥が致命的なエラーを引き起こします。古い参照を削除する代わりに、システムはこのステップを無視できるため、潜在的にセンシティブなメモリ領域へのアクセスを残します。
具体的には、返されるサイズがゼロとなり、KVMによって有効だが空の範囲として解釈されます。まるで鍵が無意識のうちに開いているようなものです。擬似TLB（仮想アドレスを物理アドレスに変換するキャッシュ）での無効化は行われず、VMはロックされるべきページにアクセスできる可能性があります。
現代のインフラにおけるリスクは？
ARM64を利用する公共クラウドプロバイダーが最も影響を受けるでしょう。ネストされた仮想化により、他の仮想マシン内で仮想マシンを実行することが可能です。この機能が有効になっている場合、悪意のあるユーザーは自分のVMを隔離するバリアを突破する可能性があります。
クラウドを超えて、この脆弱性は内部サーバーにもリスクをもたらします。特に/dev/kvmファイルが一般ユーザーに書き込み可能な場合、ローカルな権限昇格の可能性を開き、ホストシステムへのルートアクセスを与える可能性があります。影響を受けるサーバー環境の規模を考えれば、懸念は大きいです。
修正プログラムと被害を制限するためのベストプラクティス
この欠陥は2026年8月からメインカーネルに修正されています。そのため、まずは使用中のLinuxディストリビューションを介してカーネルを更新することが重要です。この脆弱性がシステムの戦略的コアに関連しているだけに、対応の重要性はさらに高まります。
管理者は/dev/kvmファイルの権限も管理する必要があります。ネストされた仮想化が必要ない場合は無効にすることを推奨します。アクセス管理の徹底は伝統的な防衛策ですが、常に効果的です。
CVE-2026-89775脆弱性：マルチテナント環境の脆弱さを思い起こさせる
この脆弱性は、共有環境内で仮想マシンを完全に隔離することがいかに難しいかを強調しています。各抽象化レイヤーは細心の注意を要します。小さな見落とし、ここでは小さな切り捨てエラーが、ホストとゲストの混同を招く可能性があります。
この種の発見は、「無料」とは「手抜き」でないことを再認識させます。開発者は頻繁にハイペースで作業していますが、専門知識と厳格さが更新を導くべきです。
詳細を深く掘り下げたい方は、Korbenによる完全なレポートが影響の明確でアクセス可能な説明を提供しています。また、e-works.frでは、この脆弱性を最近のLinuxの脆弱性の文脈で説明しています。
仮想化が地雷原になるとき
現代のインフラにおいて、仮想化は至る所に存在します。しかし、慎重さが求められることを免れるものではありません。その結果を考慮せずにネストされた仮想化を有効にすることは、曲がりくねった道で速度を二倍にするようなものです。助けになるかもしれませんが、コストがかかることもあります。
KVMの動作、擬似TLBなどの内部メカニズムを理解する時間を取る必要があります。これらは一見些細な詳細のように思えますが、正にここがセキュリティの脆弱性が生じる場所なのです。
オープンソースコミュニティはこの問題に積極的に取り組んでいます。informatiquenews.frでの議論は、現在の影響を持つ古い脆弱性を時折公開しています。これは、警戒を怠ってはならないことを示しています。
自分のシステムがこの脆弱性にさらされているかどうかはどう確認すればいいですか？
まず、2026年8月以降に提供された修正があるかどうか、Linuxカーネルが最新であることを確認してください。また、/dev/kvmファイルの権限や、ネストされた仮想化の使用状況もチェックしてください。
ネストされた仮想化とは何ですか？
1つの仮想マシンの中で別の仮想マシンを実行することを意味します。これは複雑な環境に役立つオプションですが、攻撃の可能性が増すことになります。
なぜこの脆弱性はそれほど危険なのでしょうか？
悪意のあるVMがホストのメモリにアクセスして変更できるため、セキュリティ隔離を破り、完全な制御を取得する道を開くからです。
保護のために取るべき最初のステップは何ですか？
カーネルのアップデートを適用し、/dev/kvmの権限を制限し、ネストされた仮想化が必要でない場合は無効にすることです。
この脆弱性はすべてのLinuxアーキテクチャに関連していますか？
いいえ、ARM64アーキテクチャのKVMに特有です。ただし、他の仮想化環境にとっても警鐘となることに変わりはありません。
出典: android-mt.ouest-france.fr
