رخنه ۱۸ ساله در هسته لینوکس؛ آسیب‌پذیری «PwnEscape» مرزهای امنیتی سرورهای ابری را به چالش کشید

افشای یک آسیب‌پذیری بحرانی که به مدت ۱۸ سال در اعماق هسته لینوکس پنهان مانده بود، بار دیگر ادعاهای مرسوم پیرامون ایمنی بی‌نقص جداسازی در محیط‌های ابری را زیر سوال برد. این نقص امنیتی که با شناسه CVE-2026-99999 و عنوان «PwnEscape» ثبت شده، به کدهای مخرب درون یک ماشین مجازی اجازه می‌دهد به لایه سرور میزبان نفوذ کنند.[3][5]

پائولوس ییبلو، پژوهشگر امنیتی، این رخنه را در جریان چالش امنیتی یک میلیون دلاری شرکت ورسل (Vercel) برای سنجش محیط‌های سندباکس کشف کرد؛ رویدادی که از ۱۸ اوت ۲۰۲۶ آغاز شد و پژوهشگران را به آزمودن استحکام مرزهای ایزولاسیون و تلاش برای فرار از ماشین مجازی فرا خواند.[3]

ییبلو نشان داد که با ارسال بسته‌های شبکه دست‌کاری‌شده می‌توان به شکلی تکرارپذیر داده‌های حافظه سرور میزبان را از محیط‌های آزمایشی ورسل استخراج کرد. ورسل ضمن تایید این گزارش و اطلاق عنوان «شدیدترین آسیب‌پذیری گزارش‌شده» به آن، تاکید کرد شواهدی مبنی بر افشای فایل‌ها، کلیدهای دسترسی یا داده‌های حیاتی مشتریان پیدا نشده است.[2][3]

سازوکار فرار از ماشین مجازی چگونه کار می‌کند؟

برخلاف گمانه‌زنی‌های اولیه در صنعت فناوری، PwnEscape ناشی از باگ در هایپروایزرهایی مانند KVM یا Firecracker نیست، بلکه در پشته شبکه IPv4 خود هسته لینوکس میزبان جا خوش کرده است؛ به این معنا که هر معماری مجازی‌سازی که ترافیک شبکه ماشین مهمان را مستقیماً از مسیر شبکه میزبان عبور دهد، آسیب‌پذیر خواهد بود.[1][3]

این آسیب‌پذیری از قابلیت برون‌سپاری محاسبه چک‌سام (Checksum Offloading) در لینوکس سوءاستفاده می‌کند؛ قابلیتی کارایی‌محور که به هسته اجازه می‌دهد محاسبه درستی بسته را به مراحل بعدی پردازش موکول کند. وقتی سیستم‌عامل مهمان از طریق درایور شبکه virtio بسته‌ای می‌فرستد، متادیتایی ارسال می‌کند که مشخص می‌سازد محاسبه دقیقاً باید از کجای بسته آغاز شود.[1]

هسته لینوکس میزبان بدون راستی‌آزمایی این متادیتا در برابر طول واقعی سربرگ IPv4، کورکورانه به داده دریافتی از ماشین مهمان اعتماد می‌کرد. یک مهاجم با دست‌کاری موقعیت شروع محاسبه، کد پردازش چک‌سام را وادار می‌کند سربرگ IPv4 را که پیش‌تر توسط هسته بررسی و تایید شده بود، بازنویسی و بازطراحی کند.[1][3]

در نمونه آزمایشگاهی این محقق، تغییر این متادیتا فیلد طول سربرگ IPv4 را از ۲۰ بایت به ۶۰ بایت تغییر داد. این دست‌کاری سازوکار قطعه‌بندی بسته (Fragmentation) در سیستم میزبان را به خطا انداخت و یک مبنای نشت حافظه پدید آورد که محتوای حافظه رم هسته میزبان را مستقیماً به مهاجم پس می‌داد.[1][3]

از نشت حافظه تا دسترسی با بالاترین سطح اختیارات

نشت پیوسته حافظه میزبان در یک بستر ابری چندمستاجره بسیار خطرناک است، زیرا داده‌های حساسی از دامنه‌های امنیتی دیگر را افشا می‌کند. اما تیم تحقیقاتی به همین اکتفا نکرد و در شرایط کنترل‌شده آزمایشگاهی، زنجیره بهره‌برداری را یک گام فراتر برد.[2][3]

پژوهشگران با توسعه ابزاری اختصاصی توانستند بخش‌های انتخابی حافظه هسته را بازنویسی کرده و برنامه‌ای کمکی با سطح دسترسی ریشه (Root) روی میزبان اجرا کنند. البته این فرار کامل فقط روی ماشین‌های شبیه‌سازی‌شده خود پژوهشگر روی بستر KVM و Firecracker اثبات شد، نه در زیرساخت عملیاتی و زنده ورسل.[1][2]

حتی بدون دستیابی به اجرای کامل کد، این نقص امنیتی به ماشین مهمان مخرب امکان می‌دهد سرور میزبان را به شکل پایدار متوقف (Crash) کند. چنین حمله‌ای به تنهایی به معنای از کار افتادن سرور فیزیکی و نابودی هم‌زمان تمامی ماشین‌های مجازی دیگری است که روی همان سخت‌افزار در حال اجرا هستند.[1][5]

نقطه کوری با قدمت ۱۸ سال در هسته لینوکس

کد آسیب‌پذیر نزدیک به دو دهه بدون جلب توجه در هسته سیستم‌عامل حضور داشته است. بررسی نگه‌دارندگان هسته نشان داد که مشکل به دو کامیت خاص بازمی‌گردد: پشتیبانی از سربرگ شبکه virtio برای دستگاه‌های tun/tap در سال ۲۰۰۸ و پشتیبانی از برون‌سپاری چک‌سام برای سوکت‌های بسته در سال ۲۰۱۰.[1][2]

حضور این کد از نسخه ۲.۶.۲۷ کرنل لینوکس باعث شده عملاً تمام توزیع‌های مدرن سازمانی از جمله نسخه‌های ۸، ۹ و ۱۰ آلما‌لینوکس (AlmaLinux) تحت تاثیر قرار گیرند. ثبت امتیاز وخامت ۹.۳ از ۱۰ در معیار CVSS 3.1 شدت بحران را برای سرویس‌دهندگان ابری، محیط‌های یکپارچه‌سازی مداوم و سامانه‌های تحلیل بدافزار به خوبی نشان می‌دهد.[1][3]

این رخداد بار دیگر نشان می‌دهد سطح حمله در زیرساخت‌های ابری بسیار فراتر از ادعاهای تبلیغاتی پیرامون هایپروایزرها است. امنیت واقعی به تعامل ماشین مهمان با کل اجزای سیستم‌عامل میزبان بستگی دارد؛ از شبیه‌سازهای سخت‌افزاری و شبکه‌های مجازی گرفته تا فیلترهای ترافیک و تخصیص‌دهنده‌های حافظه.[3][5]

اقدامات فوری اکوسیستم برای مهار بحران

تیم امنیتی کرنل لینوکس در تاریخ ۱۴ اکتبر ۲۰۲۶ وصله‌ای دفاعی برای اعتبارسنجی را وارد شاخه اصلی هسته کرد. این پچ تایید می‌کند که فرایند بررسی چک‌سام الزاماً پس از انتهای سربرگ IPv4 آغاز شود. این اصلاحیه تاکنون به هفت شاخه پایدار هسته شامل نسخه‌های ۵.۱۰، ۵.۱۵، ۶.۱ و ۶.۱۲ اضافه شده است.[2][5]

توزیع‌های لینوکس سازمانی نیز با شتاب دست‌به‌کار شده‌اند. آلما‌لینوکس و کلودلینوکس نسخه‌های وصله‌شده را در مخازن آزمایشی قرار داده‌اند. جاناتان رایت، از توسعه‌دهندگان آلما‌لینوکس، با اعلام در دسترس بودن این بسته‌ها در مخزن آزمایشی، از مدیران سیستم خواسته پیش از انتشار نهایی به تایید و آزمایش آن‌ها کمک کنند.[1][4]

برای ارائه‌دهندگان ابری بزرگی که ریبوت کردن مکرر سرورهای میزبان برایشان هزینه عملیاتی سنگینی دارد، شرکت‌های امنیتی در حال نهایی کردن راهکارهای پچ زنده هستند. شرکت تاکس‌کر (TuxCare) اعلام کرد تست وصله‌های بدون نیاز به ریبوت را برای نسخه ۹ لینوکس سازمانی آغاز کرده تا بدون اختلال در سرویس‌دهی، نقص را در رم رفع کند.[2]

تا زمان نصب نهایی و امن وصله‌ها، مراجع امنیتی یک راهکار موقت برای میزبان‌هایی که ماشین‌های مهمان غیرقابل‌اعتماد دارند پیشنهاد داده‌اند: غیرفعال‌سازی برون‌سپاری چک‌سام روی کارت شبکه‌های virtio. این اقدام با کاهش جزئی پهنای باند و کارایی شبکه همراه است، اما مانع از سوءاستفاده تا انتشار نسخه‌های پایدار می‌شود.[2]

کاشف این نقص هشدار داده که اکسپلویت‌های عملیاتی علیه پیکربندی‌های ضعیف‌تر طی هفته‌های آینده در سطح وب منتشر خواهند شد. در شرایط فعلی، اولویت مبرم مدیران مراکز داده، رصد زمان انتقال بسته‌های پایدار از مخازن آزمایشی به کانال‌های عملیاتی توزیع لینوکس مصرفی‌شان است.[2]