| State: |
published |
| Published at: |
2026-08-23 09:45:03 CEST |
| CVEs: |
CVE-2026-68093 |
| Name: |
KVM SVM ASID collision after CPU hotplug |
| Summary: |
English: Virtual machine isolation failure |
| Česky: Narušení izolace virtuálních strojů |
| Description: |
English: A VPS administrator with KVM enabled can run a virtual machine whose vCPU remains paused while the last physical CPU it used is taken offline and brought back by the node operator. An ASID collision could then make two virtual machines use stale translations under the same identifier. Reaching the flaw already requires root inside the VPS and does not provide additional VPS privileges. The reviewed technical evidence demonstrates a KVM internal error, not root on the node. Stale translations could cross a virtual-machine boundary, but the report does not establish access to data or control of another VPS. The observed failure stops the affected virtual machine rather than the whole node. |
| Česky: Správce VPS s povoleným KVM může spustit virtuální stroj, jehož virtuální procesor zůstane pozastavený, zatímco operátor node odpojí a znovu připojí poslední použitý fyzický procesor. Kolize ASID pak mohla způsobit, že dva virtuální stroje použijí zastaralé překlady pod stejným identifikátorem. Dosažení chyby už vyžaduje root uvnitř VPS a neposkytuje další oprávnění ve VPS. Analyzované technické podklady předvádějí interní chybu KVM, nikoli získání root na node. Zastaralé překlady by mohly překročit hranici virtuálního stroje, ale zpráva nepopisuje přístup k datům ani ovládnutí jiného VPS. Pozorované selhání zastaví napadený virtuální stroj, nikoli celý node. |
| Response: |
English: The fix for this CVE is included starting with vpsAdminOS kernel live patch 6.12.95.3. KVM now advances the per-CPU ASID generation after CPU hotplug, forcing every returning vCPU to obtain a new identifier. Upstream Linux includes the fix in 6.12.101 and later stable releases. |
| Česky: Oprava této zranitelnosti je součástí vpsAdminOS kernel live patche od verze 6.12.95.3. KVM nyní po znovupřipojení procesoru zvýší jeho generaci ASID, takže každý vracející se virtuální procesor dostane nový identifikátor. Ve stabilních vydáních Linuxu je oprava obsažena od verze 6.12.101. |
