Se ha revelado una vulnerabilidad en el núcleo de Linux, identificada como CVE-2026-89775, que permitiría a los atacantes escapar de una máquina virtual ARM64 y acceder al sistema host subyacente. El problema afecta específicamente a entornos KVM/arm64 con virtualización anidada habilitada, lo que supone un riesgo grave para las infraestructuras de nube multi-inquilino y los sistemas que permiten a usuarios no confiables crear máquinas virtuales.

Una vulnerabilidad del kernel de Linux recién revelada, rastreada como CVE-2026-89775, podría permitir que los atacantes escapen de una máquina virtual ARM64 y accedan al sistema host subyacente.

El problema afecta a los entornos KVM/arm64 donde la virtualización anidada está habilitada, lo que crea un riesgo grave para la infraestructura de nube multi-inquilino y los sistemas que permiten que usuarios no confiables creen máquinas virtuales.

El investigador de seguridad Hyunwoo Kim informó que el fallo se deriva de un problema de truncamiento de tipo en el proceso de recorrido de la tabla de páginas de etapa 1 de KVM/arm64.

El error afecta a cómo el kernel calcula el tamaño de una región de memoria que debe invalidar del pseudo Buffer de Traducción Anticipada (pseudo-TLB) de la CPU virtual.

En condiciones normales, KVM debe invalidar las traducciones de memoria obsoletas después de que cambien los mapeos de memoria. Esto evita que una máquina virtual invitada continúe accediendo a memoria que ha sido liberada, movida o reasignada por el kernel del host.

Sin embargo, en la ruta de código vulnerable, el cálculo del tamaño afectado puede devolver 0, un valor destinado a significar que el tamaño de la memoria es desconocido.
La lógica de invalidación del pseudo-TLB de VNCR trata incorrectamente el valor 0 como un tamaño de rango válido.

Esto produce un rango de invalidación vacío, lo que provoca que la operación de invalidación requerida se omita por completo. Como resultado, la información de acceso a la memoria obsoleta puede permanecer disponible para un invitado malicioso.

Vulnerabilidad de Linux KVM/arm64

Según la divulgación, una página de memoria del host liberada puede permanecer mapeada como escribible en una dirección fija del kernel del host. Un invitado malicioso puede entonces obtener acceso de lectura y escritura de 64 bits a esa página sin activar una trampa o una salida de la máquina virtual. Este comportamiento le da a un atacante una vía para manipular la memoria del host directamente desde dentro de un entorno invitado.

La vulnerabilidad es particularmente significativa en despliegues de nube pública que utilizan infraestructura ARM64. Un atacante que pueda crear una instancia con capacidades de virtualización anidada podría ser capaz de moverse del sistema invitado al host.

Si tiene éxito, el ataque podría comprometer el límite de aislamiento que normalmente separa la máquina virtual de un cliente de la infraestructura subyacente del proveedor de la nube.

El problema también puede crear un riesgo de escalada de privilegios locales. El informe señaló que algunas distribuciones, incluidas las configuraciones de Red Hat Enterprise Linux, pueden exponer /dev/kvm con permisos de escritura mundial establecidos en 0666.

Con la virtualización anidada habilitada, un usuario local sin privilegios podría ser capaz de explotar el fallo para obtener privilegios de root en el host. La vulnerabilidad afecta al código del kernel de Linux introducido por el commit 7270cc9157f47, con fecha del 14 de mayo de 2025, y fue corregido en la rama principal por el commit 8053393680d4, con fecha del 6 de agosto de 2026.

Tú, como administrador, deberías actualizar a una versión del kernel que contenga el parche oficial tan pronto como esté disponible a través de tu proveedor de distribución.

Las organizaciones que operan hosts KVM ARM64 también deberían revisar si la virtualización anidada es necesaria. Desactivar esta función donde no sea requerida puede reducir la exposición mientras se despliegan los parches.

Los proveedores de nube deben priorizar el parcheo de la infraestructura compartida, evaluar el acceso de los inquilinos a la virtualización anidada y verificar los permisos en /dev/kvm para limitar las oportunidades de ataque local. La divulgación confirma que el kernel principal de Linux ya incluye un parche.