Virtuális gépből a gazdagépre juthatnak a Linux PwnEscape hibájával
Néhány hibásan formázott IPv4-csomag is elég lehet ahhoz, hogy átjárhatóvá váljon a virtuális gép és a gazdagép közötti határ. A Linux kernel PwnEscape nevű, kritikus sérülékenységéhez már elkészült a javítás, de a disztribúciókba és a KVM-alapú termékekbe való bekerülése még folyamatban van.
A gazdagép memóriája és működése is veszélybe kerülhet
Paulos Yibelo október elején számolt be a felfedezéséről, amely a CVE-2026-99999 azonosítót kapta. A hiba CVSS-értéke 9,3, besorolása kritikus. Ez a pontszám a műszaki súlyosságot jelzi, nem azt, hogy történtek-e már támadások.
A Red Hat jelentése szerint a lehetséges következmények között szerepel tetszőleges kód futtatása a gazdagépen, szolgáltatásmegtagadást okozó rendszerösszeomlás és érzékeny memóriaadatok kiszivárgása. Ezek lehetséges hatások, nem egy már lezajlott incidens megállapításai.
A virtuális gépek ugyanannak a fizikai kiszolgálónak az erőforrásain osztoznak, de egymástól és a gazdarendszertől elkülönítve kell működniük. A PwnEscape ezt az elkülönítést sértheti meg.
Az ellenőrzés után változhat meg a hálózati csomag
A probléma az IPv4-csomagok feldolgozásához kapcsolódik. A Linux olyan kísérőadatokat is kezelhet, amelyek megadják, hol kezdődjön az ellenőrzőösszeg számítása, és hová kerüljön az eredménye. A SOC Prime elemzése szerint ez szabályos, széles körben használt optimalizálás.
A veszély akkor keletkezik, ha a vendégrendszer által befolyásolható kísérőadatok egy korábbi ellenőrzés után is módosíthatják a fejlécet. Michael S. Tsirkin kernelhez írt közlése szerint hibás adatok esetén az skb_checksum_help függvény megrongálhatja ezt.
A SOC Prime szerint az információszivárgás ismételten előidézhető lehet. Így a vendégrendszerben futó feladatot irányító támadó olyan biztonsági tartományból gyűjthet adatokat, amelybe a virtuális gépnek nem volna szabad betekintenie.
Felhőket és mikro-VM-ben futó konténereket is érinthet
A KVM-alapú nyilvános és privát felhők egyaránt a vendégrendszerek elkülönítésére támaszkodnak. Ennek megsértésével elvileg a gazdagépen vagy egy virtualizált erőforráskészleten futó további virtuális gépek is elérhetővé válhatnak.
A konténeres környezetek is érintettek lehetnek, amennyiben az elkülönítéshez mikro-VM-et, vagyis kis virtuális gépet használnak. Ez nem jelenti azt, hogy minden ilyen szolgáltatás veszélyeztetett.
Az AWS közlése szerint az elastic compute cloud szolgáltatása nincs veszélyben. A beszámoló a Google Cloud esetében is valószínűnek tartja a védettséget a KVM használatának módja miatt, ezt azonban nem azonos bizonyossággal állítja.
A kernel javítása már kész, a termékfrissítéseket kell követni
A Linux központi fejlesztői változatához már elkészült a javítás. A beszámoló szerint ez fokozatosan jut el a Debian, a RHEL és az Ubuntu rendszerébe. A KVM-re épülő virtualizációs termékek közül a Nutanix és a Proxmox is szerepel benne, de ezekhez nem ad meg javított verziót.
A sérülékenység leírása szerint a módosítás az ellenőrzőösszeg kiszámításának befejezése előtt ellenőrzi a kezdőpozíciót. A bemeneti adatok teljesebb vizsgálata további munkát igényel; a hibát mások is, egymástól függetlenül reprodukálták.
A kutató új támadási osztály lehetőségét látja benne
Yibelo szerint a PwnEscape jelentősége túlmutathat ezen a kitörési lehetőségen. Úgy véli, új támadási osztályt tárhat fel a Linux hálózati feldolgozásában: nem megbízható kísérőadatok biztonsági szempontból érzékeny mezőket írhatnak át az ellenőrzés után.
A kutató magyarázata szerint a Linux különböző részei ugyanannak a csomagnak eltérő állapotaiban bízhattak meg.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum