Een grote kwetsbaarheid is ontdekt in de Linux-kernel, die de KVM-hypervisor op de ARM64-architectuur aantast. Deze kwetsbaarheid opent een kritieke breuk tussen virtuele machines en host, waardoor de veiligheid van gevirtualiseerde omgevingen in gevaar komt. De patches zijn beschikbaar, maar waakzaamheid is nog steeds geboden voor systeembeheerders.
De grens tussen een gastbesturingssysteem en zijn host zou zo dicht moeten zijn als een goed oud landelijk dam. Toch heeft de kwetsbaarheid CVE-2026-89775 bewezen dat de grens kan lekken. Een rekenfout, die in mei 2025 is geïntroduceerd, maakt het mogelijk voor een VM op ARM64 met geneste virtualisatie om te lezen en schrijven in het geheugen van de host. Het is beter om snel de updates van uw distributie te controleren.
Een discrete maar kritieke kwetsbaarheid in KVM op ARM64
De kwetsbaarheid heeft invloed op het beheer van de geheugentabellen door KVM, de hypervisor ingebouwd in de Linux-kernel. Hier leidt een typefout bij de berekening van de geheugeninvalidatiegrootte tot een fatale fout. In plaats van de oude referenties te wissen, kan het systeem deze stap negeren, waardoor toegang wordt verleend tot potentieel gevoelige geheugengebieden.
Concreet retourneert de grootte die teruggegeven wordt nul, wat door KVM wordt geïnterpreteerd als een geldige, maar lege range. Het is als een slot dat openblijft zonder dat iemand het merkt. De invalidatie in de pseudo-TLB (een cache die virtuele adressen naar fysieke adressen vertaalt) gebeurt dus niet, en de VM kan toegang krijgen tot pagina’s die vergrendeld zouden moeten zijn.
Wat is het risico voor moderne infrastructuren?
De publieke cloudleveranciers die ARM64 gebruiken zijn de eerste die worden getroffen. Geneste virtualisatie maakt het onder andere mogelijk om virtuele machines binnen andere virtuele machines uit te voeren. Als deze functie is ingeschakeld, kan een kwaadwillende gebruiker de barrière die zijn VM isoleert, overschrijden.
Naast de cloud vormt deze kwetsbaarheid ook een risico voor interne servers, vooral wanneer het bestand /dev/kvm schrijfbaar is voor een gewone gebruiker. Dit opent de mogelijkheid voor lokale privilege-escalatie, die mogelijk root-toegang tot het host-systeem geeft. Verontrustend, als je bedenkt hoe groot de betrokken parken zijn.
Patches en best practices om schade te beperken
De defecte code is sinds augustus 2026 in de hoofdkernel gecorrigeerd. De eerste maatregel blijft dus om uw kernel bij te werken via de gebruikte Linux-distributie. Het belang is des te groter omdat de kwetsbaarheid een strategische kern van het systeem betreft.
Beheerders moeten ook de machtigingen op het bestand /dev/kvm controleren. Het wordt aanbevolen om geneste virtualisatie uit te schakelen als deze niet essentieel is. Een goede toegangshygiëne is een klassieke maar altijd effectieve beschermingsmaatregel.
De kwetsbaarheid CVE-2026-89775: een herinnering aan de kwetsbaarheid van multi-tenant omgevingen
Deze kwetsbaarheid benadrukt hoe delicaat het is om virtuele machines volledig te isoleren in een gedeelde omgeving. Elke abstractielaag vereist zorgvuldig toezicht. De minste nalatigheid – hier, een kleine afkappingfout – kan de deur openen voor verwarring tussen host en gast.
Dit soort ontdekkingen herinnert ons eraan dat “gratis” niet “slordig” betekent. Ontwikkelaars houden vaak een hoog tempo aan, maar deskundigheid en precisie moeten altijd de updates aansteken.
Voor degenen die dieper willen graven, biedt het volledige rapport van Korben een duidelijke en toegankelijke beschrijving van de impact. Een andere verhelderende lectuur is beschikbaar op e-works.fr, die deze kwetsbaarheid plaatst in de context van recente Linux-kwetsbaarheden.
Wanneer virtualisatie een mijnenveld wordt
In moderne infrastructuren is virtualisatie overal. Toch ontslaat het niet van voorzichtigheid. Geneste virtualisatie inschakelen zonder de gevolgen te begrijpen, is een beetje als de snelheid verdubbelen op een bochtige weg: het kan helpen, maar het kan ook duur komen te staan.
Het is dus belangrijk om de werking van KVM te begrijpen, evenals de interne mechanismen zoals de pseudo-TLB. Dit zijn details die onschuldig lijken, maar precies daar kan de veiligheid falen.
De open source-gemeenschap is actief op dit onderwerp. Discussies op informatiquenews.fr onthullen soms oude kwetsbaarheden met hedendaagse gevolgen. Dit toont aan dat waakzaamheid nooit mag verslappen.
Hoe kan ik weten of mijn systeem kwetsbaar is voor deze kwetsbaarheid?
Controleer eerst of uw Linux-kernel up-to-date is met de patch die sinds augustus 2026 is gegeven. Controleer ook de machtigingen van het bestand /dev/kvm en het gebruik van geneste virtualisatie op uw machine.
Wat is geneste virtualisatie?
Dit betekent dat u een virtuele machine binnen een andere virtuele machine uitvoert. Het is een nuttige optie voor complexe omgevingen, maar het vergroot de oppervlakte voor potentiële aanvallen.
Waarom is deze kwetsbaarheid zo gevaarlijk?
Omdat het een kwaadwillende VM toegang geeft tot en wijziging van het geheugen van de host, wat de beveiligingsisolatie doorbreekt en de weg opent voor volledige controle.
Wat zijn de eerste stappen om uzelf te beschermen?
Pas de kernelupdates toe, beperk de rechten op /dev/kvm en schakel geneste virtualisatie uit als deze niet essentieel is.
Is deze kwetsbaarheid van toepassing op alle Linux-architecturen?
Nee, het is specifiek voor de ARM64-architectuur met KVM. Toch blijft het een waarschuwingssignaal voor andere gevirtualiseerde omgevingen.