Linux-ի vhost-ի սխալը CVE-2026-74580 լոկալ root-ի ստանալու և հյուրի փախուստի հնարավություն է ընձեռնում

Հենամաս և ազդեցություն

Tencent Zhuque Lab-ը հրապարակեց Linux-ի միջուկի vhost ենթահամակարգում առկա խոշտանգությունը, որը հայտնի է CVE-2026-74580 և Vghost անունով: Խոստանգությունը վերաբերում է միջուկի 4.11-ից 7.2-rc4 տարբերակներին, մոտավորապես ինը տարվա հեռավորության վրա: Այն ոչ-արտոնավորված լոկալ օգտատիրոջը հնարավորություն է տալիս կարդալ և գրել ցանկացած միջուկի հիշողություն, շրջանցել միջուկի հասցեների տարածքի դասավորության ռանդոմիզացիան և ստանալ root իրավունքներ: Վիրտուալիզացիայի սցենարում, երբ virtio սարքը տեղադրված է վիրտուալ IOMMU-ի հետից iommu_platform-ը միացնելով, և vhost-ը աշխատում է device-IOTLB ռեժիմում, անվստահելի հյուրը կարող է նույն խոստանգությանը իննպես կիրառել և գրել հոսթի QEMU պրոցեսում սահմաններից դուրս, ինչը պոտենցիալ թույլ է տալիս կատարել կոդ հոսթում:

Խոստանգությունը գտնվել է Corvus AI-ի օգնությամբ, որը Tencent-ի բազմագենտային համակարգն է միջուկի խոստանգությունները ուսումնասիրելու համար: Upstream ուղղման մեջ AI համակարգը նշված է Assisted-by տողով: Tencent-ը ուղղումը թողարկել է օգոստոսի 3-ին, իսկ լրիվ նկարագրությունը աշխատանքային ցուցադրություններով հրապարակել է հոկտեմբերի 12-ին: Խոստանգության իրական կիրառման վերաբերյալ հրապարակայն տեղեկություններ չկան:

Տեխնիկական մանրամասներ

vhost-ի ենթահամակարգը արագացնում է ցանցային և այլ ներմուծման-արտածման գործողությունները վիրտուալ մեքենաների և կոնտեյներների համար: Լոկալ օգտատերը օգտագործում է դրա այնպիսի սարքի հանգույցներ, ինչպիսին են /dev/vhost-net կամ /dev/vhost-vsock: Ենթահամակարգը պահում է հիշողության քարտեզների քեշը յուրաքանչյուր վիրտուալ օղակի և ընդհանուր հերթի համար: Քեշ մուտքը համարվում է հաստատված, եթե տարածաշրջանն արդեն ստուգված է: Քեշը մաքրվում է քարտեզների թարմացման կամ չեղարկման ժամանակ և հերթի վերաբեռնման ժամանակ, բայց ոչ երբ VHOST_SET_VRING_ADDR կամ VHOST_SET_VRING_NUM փոխում է օղակի հասցեները կամ չափը կենդանական հերթի ընթացքում:

Երբ սարքի IOTLB-ն կցված է, այս հրամանները նոր հասցեները անմիջապես ընդունում են առանց ստուգման և ստուգումը հետո եղած փուլ է տանում: Քեշի լրացման հետո հաջորդ ստուգումը այլևս չի ավարտվում, և vhost-ը հին քարտեզների օգտագործմամբ նոր հասցեները թարգմանում է: Այնուհետև միջուկը ստացված ցուցիչի վրա տվյալները պատճենում է առանց սահմանների ստուգման, ինչը ապահովում է գրել used ring-ում կամ կարդալ descriptor-ը քարտեզից դուրս: Սա հնարավորություն է տալիս հարձակուին՝ միջուկի կարդալու և գրելու պրիմիտիվները: Խոստանգությունը առաջանում է երկու փոփոխություններից՝ 2017 թվականի փոփոխությունը Linux 4.11-ում, որն էլ քեշը և դրա կարճաժամկետային ստուգումը ներդրեց, և 2020 թվականի փոփոխությունը Linux 5.9-ում, որը հասցեների ստուգումը հեռացրեց հրամանի ճանապարհից և վերացրեց հին թարգմանության ամրակալի ստուգումը:

Մեղմում և ծանրություն

Ուղղումը, commit de845981da67, քեշը ամեն անգամ մաքրում է, երբ օղակը նորից կազմաձևվում է: Օգտատերերը պետք է տեղադրեն միջուկը այս ուղղմամբ և վերագործարկեն համակարգը: Առաջին ուղղված upstream կայուն թողարկումներն են 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 և 7.2: Red Hat-ը, Amazon Linux-ը և Oracle Linux-ը արդեն թողարկել են թարմացված միջուկներ: Ubuntu-ը ուղղել է 22.04-ը, իսկ 24.04 և 26.04 միջուկները 13 հոկտեմբերի դրությամբ դեռ գտնվում են որպես գործընթաց:

Մինչև մուտքագրված միջուկը ակտիվանա, ադմինիստրատորները պետք է սահմանափակեն vhost սարքի հանգույցներին մուտքը /dev/vhost-net-ից և /dev/vhost-vsock-ից բոլորի համար կարդալու և գրելու թույլտվությունները չեղարկելով, սեփականական խումբը միայն վստահելի վիրտուալիզացիայի ծառայություններով պաշտպանել և այս խմբում անդամությունը համարել արտոնավորված գործողություն: Հյուրից հոստ փախուստի ճանապարհի համար ժամանակավոր շրջանցման մեխանիզմ գոյություն չունի, միակ լուծումը մուտքագրված միջուկն է: Ծանրության գնահատականները տարբեր են: kernel.org-ի CVE խումբը սխալը գնահատում է 8,8 փոփոխված շրջանակով, քանի որ հյուրից հոստ գրելը խախտում է հյուր-հոսթի սահմանը, Red Hat-ը՝ 7,3 անփոփոխ շրջանակով և քիչ integrity ազդեցությամբ: Amazon-ը տալիս է 7,8, Oracle-ը՝ 7,3:

Հղումներ: The Hacker News