Äskettäin julkaistiin tietoa haavoittuvuudesta , joka vaarantaa pilvipalvelimet. Tämä haavoittuvuus antaa hyökkääjille mahdollisuuden ottaa fyysisen koneen kokonaan hallintaansa , mikä on painajaismainen tilanne pilvi-infrastruktuurin tarjoajille.
Zapscape, joka on rekisteröity tunnisteella CVE-2026-64561, on kriittinen haavoittuvuus Linux KVM -hypervisorissa. Se altistaa riskin, jonka monet alustat tahattomasti ottavat käyttöön ottamalla sisäkkäisen virtualisoinnin. Tämä haavoittuvuus antaa hyökkääjälle, jolla on virtuaalikoneen (L1) ytimen oikeudet, mahdollisuuden suorittaa koodia pääkäyttäjän oikeuksilla isäntäjärjestelmässä (L0), mikä rikkoo virtualisoitujen ympäristöjen eristäytymisen.
Vakavana uhkana pidetty Zapscape ei ainoastaan helpota virtuaalikoneesta poistumista, vaan myös avaa paikallisen oikeuksien eskalointireitin isäntäkäyttäjille, joilla on kirjoitusoikeudet /dev/kvm-laitteeseen.
Vaikka organisaatiot, kuten Red Hat, ovat arvioineet haavoittuvuuden CVSS-pistemäärällä 7.0 keskittyen epävakauteen ja palvelunestohyökkäyksiin, julkinen konseptitodistus (PoC) osoittaa paljon tuhoisamman laajuuden: mielivaltaisen tiedoston luomisen suoraan isännän juureen.
Kaaos muistinhallintayksikössä
Zapscapen toimintatapa piilee KVM:n muistinhallintayksikössä (MMU) ja siinä, miten hypervisor käsittelee sivutaulukoita, kun yksi vieras (L1) toimii hypervisorina toiselle alivieraalle (L2). Ongelma on loogisessa järjestysvirheessä sivuvirheiden käsittelyn aikana. Ytimen koodipoluissa "vanhentuneen juuren" tarkistus suoritettiin ennen sivunhakufunktiota eikä sen jälkeen.
Tämä virheellinen järjestys laukaisee klassisen käytön jälkeisen skenaarion . Palautuksen aikana KVM voi poistaa käyttämänsä juuren ja merkitä sen virheelliseksi. Koska kuntotarkistus on kuitenkin jo suoritettu, järjestelmä jatkaa yhdistämismääritysten rakentamista juuren alle, joka ei ole enää kelvollinen. Mielenkiintoista kyllä, tämä lajitteluongelma on ollut koodissa vuodesta 2008 lähtien, mutta siitä tuli kriittinen ja hyödynnettävä Linux-ytimen 5.9 julkaisun jälkeen heinäkuussa 2020 , kun käyttöön otettiin direktiivi, jota järjestelmä yksinkertaisesti lakkasi noudattamasta.
Vaatimukset ja rajoitukset
Jotta Zapscapea voitaisiin hyödyntää, ympäristön on täytettävä hyvin erityiset vaatimukset. Ensinnäkin sisäkkäisen virtualisoinnin on oltava käytössä KVM-moduulissa, mikä mahdollistaa kolmitasoisen arkkitehtuurin (L0, L1 ja L2). Hyökkääjän on aloitettava hyökkäys L1-kerroksesta , joka vaatii pääkäyttäjän oikeudet kyseiseen virtuaalikoneeseen. Sieltä hyökkääjä manipuloi muistitiloja, kun taas L2-alivieraskoneen toiminta pakottaa L0-isännän aloittamaan kiintiösivun haun, mikä aiheuttaa muistin vioittumista.
Laitteistotasolla olosuhteet vaihtelevat valmistajasta riippuen. AMD-järjestelmissä , jotka käyttävät sisäkkäisiä sivutaulukoita ( SVM ), haavoittuvuus on suoraviivaisempi eikä vaadi lisäominaisuuksia. Intel-prosessoreilla skenaario puolestaan edellyttää , että L1-vieraspalvelimella on käytössä neljän ja viiden tason EPT-sivukävelyominaisuudet . Tämä rajoittaa hyökkäysvektorin Inteliä vastaan uudempiin arkkitehtuureihin, erityisesti Ice Lake-SP-perheestä eteenpäin.
On syytä huomata, että vaikka julkinen todiste konseptista on onnistunut pääsemään isäntäkoneeseen valvotuissa ympäristöissä, tietoturvatutkijat ovat raportoineet, että tietyissä uudelleenkäännetyissä ytimissä hyökkäys yksinkertaisesti kaataa hyökkääjän virtuaalikoneen, toimien pikemminkin palvelunestohyökkäyksenä kuin täydellisenä pakenemisena.
Lieventäminen, korjauspäivitykset ja strategiat
Zapscapen lopullinen ratkaisu saapui Linux-arkistoon viime heinäkuussa päivityksen kernel-virheenkorjauksen mukana. Tämä korjaus siirtää vanhentuneen juuritason tarkistuksen MMU-sivun allokoinnin jälkeen varmistaen, että hypervisor ei luo aktiivisia määrityksiä poistetun juuritason alle. Nämä korjaukset on jo toteutettu vakaan ytimen haaroissa ja niitä jaellaan laajasti useissa eri jakeluissa.
Järjestelmänvalvojille, jotka eivät voi päivittää välittömästi, on olemassa erittäin tehokkaita väliaikaisia ratkaisuja. Ensisijainen toimenpide on poistaa sisäkkäinen virtualisointi käytöstä kaikilla palvelimilla, joilla se ei ole ehdottoman välttämätöntä, siirtämällä `nested=0`-parametri `kvm_amd`- tai `kvm_intel`-moduuleille modprobe-määritystiedostoissa. Tämä toimenpide edellyttää moduulin uudelleenlatausta, mikä tarkoittaa kaikkien aktiivisten virtuaalikoneiden pysäyttämistä.
Lopuksi, jos olet kiinnostunut oppimaan lisää, löydät tiedot seuraavasta linkistä.