نقص ۱۶ ساله KVM لینوکس با نام «جانوسکیپ» امکان فرار ماشین مجازی را در تمام پلتفرم‌های ابری بزرگ فراهم می‌کرد

هنگامی که یک آسیب‌پذیری ۱۶ ساله که «جانوسکیپ» نامیده می‌شود، در پشته مجازی‌سازی هسته لینوکس افشا شد، واکنش فوری در سراسر صنعت فناوری، وحشت قابل پیش‌بینی بود. سرفصل‌ها هشدار می‌دادند که ایزوله‌سازی بنیادی فضای ابری شکسته شده است و تصویری از مستأجران مخرب را ترسیم می‌کردند که به راحتی از ماشین‌های مجازی خود خارج شده و کنترل سرورهای میزبان زیرین را به دست می‌گیرند. اما واقعیت CVE-۲۰۲۶-۵۳۳۵۹ بسیار ظریف‌تر است و در نهایت، گواهی بر انعطاف‌پذیری امنیت هماهنگ متن‌باز است. در حالی که این نقص از لحاظ تئوری امکان فرار مهمان به میزبان را در پردازنده‌های اینتل و ای‌ام‌دی فراهم می‌کرد، شرایط مورد نیاز برای بهره‌برداری دشوار بود و اکوسیستم متن‌باز بسیج شد تا پیش از وقوع هرگونه بهره‌برداری فعال در فضای عمومی، این آسیب‌پذیری را وصله کند.[1][4]

این آسیب‌پذیری در عمق هایپروایزر Kernel-based Virtual Machine (KVM) قرار دارد، به طور خاص در کد واحد مدیریت حافظه سایه (MMU) که از آگوست ۲۰۱۰ در معماری‌های x86 به اشتراک گذاشته شده است. این باگ که توسط محقق امنیتی هیون‌وو کیم کشف شد، یک خطای کلاسیک «استفاده پس از آزادسازی» (use-after-free) است. تحت شرایط بسیار خاص، یک ماشین مجازی مهمان می‌توانست میزبان را فریب دهد تا یک صفحه ردیابی حافظه داخلی را برای هدف اشتباهی دوباره استفاده کند. با خراب کردن این وضعیت صفحه سایه، یک مهاجم با دسترسی روت در محیط مهمان خود، از لحاظ تئوری می‌توانست هسته میزبان را مجبور به اجرای کد دلخواه کند و مرز ایزوله‌سازی که زیرساخت ابری چندمستأجری به آن وابسته است را از بین ببرد.[1][3]

با این حال، مکانیسم‌های واقعی برای تبدیل جانوسکیپ به یک سلاح نشان می‌دهد که چرا فاجعه‌ای رخ نداد. برای فعال‌سازی آسیب‌پذیری، مهاجم ابتدا به امتیازات روت در داخل ماشین مجازی خود نیاز داشت—سناریویی که در محیط‌های زیرساخت به عنوان سرویس (IaaS) به اندازه کافی رایج است—اما میزبان همچنین باید مجازی‌سازی تودرتو (nested virtualization) را در معرض دید قرار می‌داد. این ویژگی، که به یک ماشین مجازی اجازه می‌دهد هایپروایزر خود را اجرا کند، KVM را مجبور می‌کند تا به MMU سایه قدیمی که نقص در آن قرار داشت، بازگردد. ارائه‌دهندگان بزرگ ابری معمولاً مجازی‌سازی تودرتو را محدود یا به شدت کنترل می‌کنند، که سطح حمله را به طور قابل توجهی کاهش می‌دهد. علاوه بر این، در حالی که یک اثبات مفهوم عمومی توانایی از کار انداختن هسته میزبان را نشان داد، دستیابی به یک فرار کامل و قابل اعتماد مهمان به میزبان، نیاز به زنجیره‌ای کردن نقص با یک وصله ثانویه داشت، که آن را به یک مانور فوق‌العاده پیچیده تبدیل می‌کرد.[1][3][4]

آنچه حادثه جانوسکیپ را قابل توجه می‌کند، نه قدمت باگ، بلکه سرعت و هماهنگی پاسخ بود. این آسیب‌پذیری از طریق برنامه kvmCTF گوگل گزارش شد، که یک طرح پاداش برای کشف باگ است و به طور خاص برای تقویت هایپروایزری طراحی شده که زیربنای اندروید و گوگل کلود است. پس از تأیید نقص، نگهدارندگان هسته بالادستی به آرامی یک اصلاحیه را توسعه دادند—یک افزودنی تک‌خطی که تضمین می‌کند یک صفحه سایه تنها زمانی دوباره استفاده می‌شود که هم شماره فریم و هم نقش آن مطابقت داشته باشد. این وصله در تاریخ ۱۶ ژوئن ۲۰۲۶، هفته‌ها قبل از پایان مهلت افشای عمومی، در هسته اصلی لینوکس ادغام شد.[3][4]

لحظه‌ای که ممنوعیت افشا در ۶ ژوئیه پایان یافت، شبکه گسترده‌تر توزیع متن‌باز یک انتشار هماهنگ را اجرا کرد. فروشندگان لینوکس سازمانی، از جمله اوبونتو، کلودلینوکس و آلما لینوکس، بلافاصله هسته‌های وصله‌شده را به مخازن خود ارسال کردند. کلودلینوکس وصله‌های زنده (live-patches) را مستقر کرد که به ارائه‌دهندگان میزبانی مشترک اجازه می‌داد بدون راه‌اندازی مجدد، ناوگان خود را ایمن کنند و یک مسیر حمله ثانویه را بست که در آن کاربران محلی بدون امتیاز می‌توانستند از طریق یک گره دستگاه قابل دسترسی برای همه، باگ را فعال کنند. آلما لینوکس و اوبونتو نیز به طور مشابه به‌روزرسانی‌ها را به کانال‌های آزمایشی و تولیدی خود تسریع کردند و از مدیران خواستند که اصلاحات را اعمال کنند یا به عنوان یک اقدام موقت، مجازی‌سازی تودرتو را غیرفعال کنند.[2][5]

این استقرار سریع بر یک نقطه قوت حیاتی و اغلب نادیده گرفته شده مدل متن‌باز تأکید می‌کند. در حالی که فروشندگان نرم‌افزار اختصاصی ممکن است ماه‌ها صرف وصله‌گذاری آرام کد قدیمی کنند، اکوسیستم لینوکس با شفافیتی عمل می‌کند که اقدام فوری و جمعی را الزامی می‌سازد. این واقعیت که یک نقص ۱۶ ساله می‌تواند توسط یک محقق مستقل شناسایی شود، توسط یک برنامه پاداش شرکتی تأیید شود و در عرض چند هفته در سطح جهانی در سراسر توزیع‌های رقیب وصله شود، یک پیروزی آشکار برای امنیت مشارکتی است. این نشان می‌دهد که معیار واقعی زیرساخت ابری، عدم وجود آسیب‌پذیری‌ها نیست، بلکه سرعتی است که اکوسیستم آن‌ها را خنثی می‌کند.[2][5]

در آینده، افشای جانوسکیپ باعث ارزیابی مجدد گسترده‌تر کد قدیمی در زیرساخت‌های حیاتی می‌شود. زیرسیستم MMU سایه، در حالی که برای سخت‌افزارهای قدیمی و مجازی‌سازی تودرتو ضروری است، به طور فزاینده‌ای به عنوان یک سطح حمله پیچیده در نظر گرفته می‌شود. همانطور که ارائه‌دهندگان ابری به سمت فناوری‌های مجازی‌سازی با کمک سخت‌افزار مانند EPT اینتل و NPT ای‌ام‌دی حرکت می‌کنند، وابستگی به صفحه‌بندی سایه مبتنی بر نرم‌افزار کاهش خواهد یافت. تا آن زمان، مهار موفقیت‌آمیز CVE-۲۰۲۶-۵۳۳۵۹ به عنوان یک یادآوری قدرتمند عمل می‌کند که در حالی که کد بنیادی اینترنت ممکن است نقص‌های باستانی را در خود جای داده باشد، جامعه‌ای که از آن محافظت می‌کند هرگز توانمندتر از این نبوده است.[1][3]

در نهایت، داستان جانوسکیپ، داستان فاجعه‌ای است که از آن جلوگیری شد. تمرکز بر آسیب تئوریکی که فرار مهمان به میزبان می‌تواند بر محیط‌های چندمستأجری وارد کند، آسان است. با این حال، شواهد نشان می‌دهد که یک سیستم دقیقاً همانطور که در نظر گرفته شده بود کار کرده است: محققانی که برای یافتف باگ‌های ریشه‌دار تشویق شده‌اند، نگهدارندگانی که بر روی اصلاحات قوی همکاری می‌کنند، و توزیع‌هایی که آن وصله‌ها را قبل از اینکه بازیگران تهدید بتوانند آن‌ها را به سلاح تبدیل کنند، ارائه می‌دهند. در مسابقه تسلیحاتی مداوم امنیت ابری، جامعه متن‌باز ثابت کرد که می‌تواند از تهدیداتی که در تاریخ خود پنهان شده‌اند، پیشی بگیرد.[1][4]