Linux-ის vhost-ის ხარვეზი CVE-2026-74580 ლოკალურ root-ს და სტუმრის გაქცევას იძლევა

ფონი და გავლენა

Tencent Zhuque Lab-მა საჯაროდ გამოაქვეყნა Linux-ის ბირთვის vhost-ის ქვესისტემაში არსებული სისუსტე, რომელიც CVE-2026-74580-ად და Vghost-ის სახელითაა ცნობილი. ხარვეზი ბირთვის 4.11-დან 7.2-rc4-მდე ვერსიებს ეხება, დაახლოებით ცხრა წლის მანძილზე. ის არაპრივილეგირებულ ლოკალურ მომხმარებელს აძლევს საშუალებას წაიკითხოს და ჩაწეროს ნებისმიერი ბირთვის მეხსიერება, გვერდი აუაროს ბირთვის მისამართების სივრცის განლაგების რანდომიზაციას და მიიღოს root-ის უფლებები. ვირტუალიზაციის სცენარში, როცა virtio-მოწყობილობა მოთავსებულია ვირტუალური IOMMU-ის უკან iommu_platform-ის ჩართვით და vhost მუშაობს device-IOTLB რეჟიმში, არასანდო სტუმარს შეუძლია იგივე ხარვეზის გამოწვევა და ჰოსტის QEMU პროცესში საზღვრებს გარეთ ჩაწერა, რაც პოტენციურად ჰოსტზე კოდის შესრულებას იძლევა.

ხარვეზი Corvus AI-ის დახმარებით იპოვეს, რომელიც Tencent-ის მრავალაგენტიანი სისტემაა ბირთვის სისუსტეების კვლევისთვის. upstream-ის გამოსწორებაში AI სისტემა Assisted-by ხაზითაა მოხსენიებული. Tencent-მა გამოსწორება 3 აგვისტოს გამოუშვა, ხოლო სრული აღწერა სამუშაო დემონსტრაციებით 12 ოქტომბერს გამოაქვეყნა. საჯარო ცნობები ხარვეზის რეალურად გამოყენების შესახებ არ არსებობს.

ტექნიკური დეტალები

vhost-ის ქვესისტემა აჩქარებს ქსელურ და სხვა შემავალ-გამომავალ ოპერაციებს ვირტუალური მანქანებისა და კონტეინერებისთვის. ლოკალური მომხმარებელი მას ისეთი მოწყობილობის კვანძებით იყენებს, როგორიცაა /dev/vhost-net ან /dev/vhost-vsock. ქვესისტემა ინახავს მეხსიერების რუკების ქეშს თითოეული ვირტუალური რგოლისა და საერთო რიგისთვის. ქეშში მოხვედრა ჩაითვლება მტკიცებულებად, რომ რეგიონი უკვე შემოწმებულია. ქეში იწმინდება რუკების განახლების ან გაუქმებისას და რიგის გადატვირთვისას, მაგრამ არა მაშინ, როცა VHOST_SET_VRING_ADDR ან VHOST_SET_VRING_NUM ცვლის რგოლის მისამართებს ან ზომას ცოცხალი რიგის დროს.

როცა მოწყობილობის IOTLB მიმაგრებულია, ეს ბრძანებები ახალ მისამართებს დაუყოვნებლივი შემოწმების გარეშე იღებს და შემოწმებას გვიან ეტაპზე გადადებს. ქეშის შევსების შემდეგ მომდევნო შემოწმება აღარ სრულდება და vhost ძველი რუკების გამოყენებით ახალ მისამართებს თარგმნის. შემდეგ ბირთვი მიღებულ პოინტერზე მონაცემებს საზღვრების შემოწმების გარეშე აკოპირებს, რაც used ring-ზე ჩაწერას ან descriptor-ის წაკითხვას რუკის გარეთ ატანს. ეს თავდამსხმელს ბირთვის წაკითხვისა და ჩაწერის პრიმიტივებს აძლევს. ხარვეზი ორი ცვლილებიდან მომდინარეობს: 2017 წლის ცვლილება Linux 4.11-ში, რომელმაც ქეში და მისი მალსახა შემოიტანა, და 2020 წლის ცვლილება Linux 5.9-ში, რომელმაც მისამართების შემოწმება ბრძანების გზიდან გაიტანა და ძველი თარგმანის დამჭერი შემოწმება მოხსნა.

შემცირება და სიმძიმე

გამოსწორება, commit de845981da67, ქეშს ყოველ ჯერზე ასუფთავებს, როცა რგოლი ხელახლა კონფიგურირდება. მომხმარებლებმა უნდა დააყენონ ბირთვი ამ გამოსწორებით და გადატვირთონ სისტემა. პირველი გამოსწორებული upstream სტაბილური გამოშვებებია 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 და 7.2. Red Hat-მა, Amazon Linux-მა და Oracle Linux-მა უკვე გამოუშვეს განახლებული ბირთვები. Ubuntu-მ 22.04 გამოსწორა, 13 ოქტომბრის მდგომარეობით კი 24.04 და 26.04 ბირთვები ჯერ პროცესშია.

სანამ დაპატჩებული ბირთვი დაინერგება, ადმინისტრატორებმა უნდა შეზღუდონ vhost-ის მოწყობილობის კვანძებზე წვდომა /dev/vhost-net-იდან და /dev/vhost-vsock-იდან ყველასთვის წაკითხვისა და ჩაწერის ნებართვების მოხსნით, მფლობელი ჯგუფი მხოლოდ სანდო ვირტუალიზაციის სერვისებით შემოიფარგლოს და ამ ჯგუფში წევრობა პრივილეგირებულ ოპერაციად ჩაითვალოს. სტუმრიდან ჰოსტზე გაქცევის გზისთვის დროებითი შემოვლითი ხერხი არ არსებობს, ერთადერთი გამოსავალი დაპატჩებული ბირთვია. სიმძიმის შეფასებები განსხვავდება: kernel.org-ის CVE გუნდი ხარვეზს 8,8-ად აფასებს შეცვლილი scope-ით, რადგან სტუმრიდან ჰოსტზე ჩაწერა სტუმარ-ჰოსტის საზღვარს კვეთს, Red Hat კი 7,3-ად უცვლელი scope-ით და ნაკლები integrity გავლენით. Amazon აძლევს 7,8-ს, Oracle 7,3-ს.

წყაროები: The Hacker News