Residual memory of virtual machines visible to the host : an empirical study on isolation faults

Abstract

Virtual Machines (VMs) are widely used in virtualized environments to provide isolation between guests sharing the same physical hardware. By abstracting Central Processing Unit (CPU), memory, storage and networking resources, hypervisors enable efficient resource consolidation while maintaining separation between machines. Memory plays a central role in this model, as it temporarily stores active programs and execution data. In virtualized systems, physical memory is dynamically allocated, reclaimed and reassigned across VM lifecycle events, including execution, shutdown and reboot. These operations rely on the assumption that isolation mechanisms prevent residual data from persisting beyond the intended execution context. However, the effectiveness of memory isolation and memory clearing mechanisms remains an open concern. If volatile memory pages are not properly sanitized before being reassigned, residual data generated by one VM can remain present in host memory beyond its lifecycle. This challenges common assumptions regarding automatic memory clearing and can increase the exposure surface of sensitive information in shared infrastructures. The risk is further amplified by the fact that application data is typically not encrypted while residing in volatile memory. This research examines how memory content created within a VM persists across various stages of the VM lifecycle and examines whether such data remains observable at the host level. The study evaluates memory behavior during running, shutdown, and reboot transitions to analyze patterns of retention, relocation, and duplication. To study this behavior, controlled experiments are conducted by injecting 25 million unique, identifiable tags into the memory of VMs. Host memory dumps are collected at multiple VM execution stages and analyzed using automated scanning techniques. The evaluation is performed across three virtualization platforms: Microsoft Hyper-V, VMware, and Oracle VirtualBox. The results indicate that approximately 99% of injected tags are detectable in host memory while the VM is running. After shutdown and reboot transitions, a substantial proportion of tags remain present, with persistence rates varying across platforms. Although page-level retention decreases over lifecycle stages, most tags are not fully eliminated but instead relocated to different host physical pages. Additionally, memory duplication is observed, with identical tags appearing in multiple host memory regions despite being inserted only once. The analysis shows that memory content is not fully removed after a VM shutdown. Differences are also observed between virtualization platforms in how memory is managed and retained. The results obtained highlight privacy risks related to volatile memory in virtualized environments and emphasize the importance of improving memory isolation and sanitization mechanisms, particularly in shared infrastructures.

Máquinas virtuais são amplamente utilizadas em ambientes virtualizados para fornecer isolamento entre sistemas que partilham o mesmo hardware físico. Ao abstrair o processador, a memória, o armazenamento e a rede, os hipervisores permitem uma consolidação eficiente de recursos, mantendo simultaneamente a separação entre máquinas. A memória desempenha um papel central neste modelo, uma vez que armazena temporariamente programas ativos e dados em execução. Em sistemas virtualizados, a memória física é dinamicamente alocada, libertada e reatribuída ao longo dos diferentes eventos do ciclo de vida das máquinas virtuais, incluindo execução, encerramento e reinício. Estas operações baseiam-se no pressuposto de que os mecanismos de isolamento impedem que dados residuais persistam para além do contexto de execução previsto. No entanto, a eficácia dos mecanismos de isolamento e de limpeza de memória continua a ser uma preocupação em aberto. Se as páginas de memória volátil não forem devidamente apagadas antes de serem reatribuídas, dados residuais gerados por uma máquina virtual podem permanecer na memória do anfitrião para além do seu ciclo de vida. Isto desafia suposições comuns relativas à limpeza automática da memória e pode aumentar a superfície de exposição de informação sensível em infraestruturas partilhadas. O risco é ainda amplificado pelo facto de os dados das aplicações, em regra geral, não se encontrarem encriptados enquanto residem em memória volátil. Este trabalho investiga de que forma o conteúdo de memória criado no interior de uma máquina virtual persiste ao longo das várias fases do seu ciclo de vida e analisa se esses dados permanecem observáveis ao nível do anfitrião. O estudo avalia o comportamento da memória durante as transições de execução, encerramento e reinício, de modo a identificar padrões de retenção, relocalização e duplicação. Para estudar este comportamento, foram conduzidas experiências controladas através da injeção de 25 milhões de etiquetas únicas identificáveis na memória das máquinas virtuais. Foram recolhidos dumps de memória do anfitrião em múltiplas fases de execução da máquina virtual e analisados, recorrendo a técnicas automatizadas. A avaliação VirtualBox. Os resultados indicam que aproximadamente 99% das etiquetas injetadas são detetáveis na memória do anfitrião enquanto a máquina virtual se encontra em execução. Após as transições de encerramento e reinício, uma proporção substancial das etiquetas permanece presente, variando as taxas de persistência entre plataformas. Embora a retenção ao nível da página diminua ao longo das fases do ciclo de vida, a maioria das etiquetas não é totalmente eliminada, sendo antes relocalizada para diferentes páginas físicas do anfitrião. Adicionalmente, foi observada duplicação de memória, com etiquetas idênticas a surgirem em múltiplas regiões da memória do anfitrião, apesar de terem sido inseridas apenas uma vez. A análise demonstra que o conteúdo da memória não é completamente removido após o encerramento de uma máquina virtual. Foram igualmente observadas diferenças entre plataformas de virtualização no que respeita à forma como a memória é gerida e retida. Os resultados obtidos evidenciam riscos de privacidade associados à memória volátil em ambientes virtualizados e reforçam a importância de melhorar os mecanismos de isolamento e de sanitização de memória, particularmente em infraestruturas partilhadas.