Nesen tika publicēta informācija par ievainojamību , kas apdraud mākoņserverus. Šī ievainojamība ļauj uzbrucējiem pilnībā pārņemt kontroli pār fizisko iekārtu , kas ir murgs mākoņinfrastruktūras pakalpojumu sniedzējiem.
Zapscape, reģistrēts ar identifikatoru CVE-2026-64561, ir kritiska Linux KVM hipervizora ievainojamība, kas pakļauj risku, ko daudzas platformas netīši uzņemas, iespējojot ligzdotu virtualizāciju. Šī ievainojamība ļauj uzbrucējam ar kodola privilēģijām virtuālajā mašīnā (L1) izpildīt kodu ar root privilēģijām resursdatora sistēmā (L0), pārtraucot virtualizēto vides izolāciju.
Zapscape , kas tiek uzskatīts par augstas ietekmes apdraudējumu, ne tikai atvieglo izkļūšanu no virtuālās mašīnas, bet arī atver lokālu privilēģiju eskalācijas ceļu resursdatora lietotājiem, kuriem ir rakstīšanas atļaujas /dev/kvm ierīcē.
Lai gan tādas organizācijas kā Red Hat ir novērtējušas ievainojamību ar CVSS vērtējumu 7.0, koncentrējoties uz nestabilitāti un pakalpojuma atteikumu, publiskais koncepcijas pierādījums (PoC) demonstrē daudz destruktīvāku darbības jomu: patvaļīga faila izveidi tieši resursdatora saknē.
Haoss atmiņas pārvaldības blokā
Zapscape darbības veids ir paslēpts KVM atmiņas pārvaldības blokā (MMU) un hipervizora apstrādes metodē, kad viens viesis (L1) darbojas kā hipervizors citam apakšviesim (L2). Problēma slēpjas loģiskās secības kļūdā lapas kļūmes apstrādes laikā. Kodola koda ceļos "novecojušas saknes" pārbaude tika veikta pirms lapas izguves funkcijas, nevis pēc tās.
Šī nepareizā secība izraisa klasisku “lietošana pēc atbrīvošanas” scenāriju . Atkopšanas laikā KVM var noņemt izmantoto sakni un atzīmēt to kā nederīgu. Tomēr, tā kā veselības pārbaude jau ir palaista, sistēma turpina veidot kartējumus zem saknes, kas vairs nav derīga. Interesanti, ka šī kārtošanas problēma kodā pastāv kopš 2008. gada, taču tā kļuva kritiska un izmantojama pēc Linux kodola 5.9 izlaišanas 2020. gada jūlijā , kad tika ieviesta direktīva, kuras ieviešanu sistēma vienkārši pārtrauca.
Prasības un ierobežojumi
Lai Zapscape varētu tikt izmantots ļaunprātīgai izmantošanai, videi ir jāatbilst ļoti specifiskām prasībām. Pirmkārt, KVM modulī ir jāiespējo ligzdotā virtualizācija — konfigurācija, kas ļauj izmantot trīs līmeņu arhitektūru (L0, L1 un L2). Uzbrucējam uzbrukums ir jāuzsāk no L1 slāņa , kam ir nepieciešamas root privilēģijas šajā virtuālajā mašīnā. No turienes uzbrucējs manipulē ar atmiņas režīmiem, savukārt L2 apakšviesa darbība piespiež L0 resursdatoru uzsākt kvotu lapas izgūšanu, izraisot atmiņas bojājumus.
Aparatūras līmenī apstākļi atšķiras atkarībā no ražotāja. AMD sistēmās , kas izmanto ligzdotas lapu tabulas ( SVM ), ievainojamība ir vienkāršāka un neprasa nekādas papildu funkcijas. Turpretī Intel procesoros šis scenārijs prasa , lai 1. līmeņa viesim būtu pieejamas četru un piecu līmeņu EPT lapu aplūkošanas iespējas . Tas ierobežo uzbrukuma vektoru Intel procesoriem līdz jaunākām arhitektūrām, īpaši sākot no Ice Lake-SP saimes un tālāk.
Jāatzīmē, ka, lai gan publiskajam koncepcijas pierādījumam ir izdevies nokļūt resursdatorā kontrolētā vidē, drošības pētnieki ir ziņojuši, ka noteiktos rekompilētos kodolos šī ievainojamība vienkārši avarē uzbrucēja virtuālajā mašīnā, darbojoties kā pakalpojuma atteikums, nevis pilnīga izkļūšana.
Mazināšana, ielāpi un stratēģijas
Zapscape galīgais risinājums Linux repozitorijos nonāca pagājušā gada jūlijā ar ielāpu, kas labo validācijas secību. Šis labojums pārvieto novecojušas saknes pārbaudi, lai tā notiktu pēc MMU lapas piešķiršanas, nodrošinot, ka hipervizors neveido aktīvas kartēšanas zem dzēstas saknes. Šie labojumi jau ir ieviesti stabilajās kodola atzaros un tiek plaši izplatīti dažādās distribūcijās.
Administratoriem, kuri nevar nekavējoties veikt jaunināšanu, ir pieejami ļoti efektīvi pagaidu risinājumi. Prioritārā darbība ir atspējot ligzdotu virtualizāciju visos serveros, kur tā nav absolūti nepieciešama, nododot parametru `nested=0` moduļiem `kvm_amd` vai `kvm_intel` modprobe konfigurācijas failos. Šis pasākums prasa moduļa atkārtotu ielādi, kas nozīmē visu aktīvo virtuālo mašīnu apturēšanu.
Visbeidzot, ja vēlaties uzzināt vairāk, informāciju varat atrast tālāk norādītajā saitē.