كشف الباحث الأمني بولوس ييبيلو عن ثغرة أمنية حرجة وخطيرة للغاية في Linux KVM، وهي التقنية التي تعتمد عليها معظم السحابات الكبرى لتشغيل الأجهزة الافتراضية. تحمل هذه الثغرة، المصنفة برقم CVE-2026-99999 وتقييم 9.3 من 10، اسم «PwnEscape» وقد تمثل طريقة جديدة كليًا لمهاجمة أنظمة Linux.
تسمح «PwnEscape» للأجهزة الافتراضية الضيفة باختراق نظام المضيف عن طريق إرسال عدد قليل من حزم IPv4 مشوهة. يعد هذا النوع من الهجمات كابوسًا أمنيًا لأن الهدف الأساسي من المحاكاة الافتراضية هو تقسيم الأجهزة إلى أجهزة افتراضية «ضيفة» معزولة تمامًا تشارك موارد الخادم «المضيف» دون أن تتمكن أبدًا من رؤية ما تفعله الأجهزة الضيفة الأخرى أو المضيف.
كيف تعمل الثغرة؟
وفقًا لما أوضحه مايكل تسيركين من Red Hat في شجرة نواة Linux المستقرة، فإنه «إذا وصلت حزمة تحتوي على بيانات تعريف تحقق خطأ في المجموع الاختباري إلى حزمة IPv4، يمكن لوظيفة skb_checksum_help إفساد ترويسة الشبكة والتسبب في مجموعة من المشاكل». تحلل شركة SOC Prime المتخصصة في اكتشاف التهديدات هذه المشكلة بالتفصيل، مشيرة إلى أن «Linux يسمح لحزم الشبكة بحمل بيانات وصفية تشير إلى مكان بدء عملية المجموع الاختباري ومكان كتابة نتيجتها». هذه العملية هي تحسين مشروع وشائع الاستخدام لتفريغ المجموع الاختباري.
تكمن المشكلة الأمنية في أن بيانات التعريف التي يتحكم فيها الضيف الأقل موثوقية يمكن أن تؤثر على عملية الكتابة بعد أن تكون ترويسة الحزمة قد اجتازت بالفعل مراحل التحقق الأولية. بما أن هذا الكشف يمكن أن يتكرر، يمكن للمهاجم الذي يتحكم في عبء عمل ضيف أن يجمع معلومات من مجال أمني لا ينبغي للجهاز الافتراضي أن يتمكن من فحصه، مما يمثل فشلًا مباشرًا في حدود عزل الضيف عن المضيف.
ماذا يعني هذا للمطورين؟
يعتقد بولوس ييبيلو أن ما اكتشفه يعرض فئة جديدة تمامًا من الهجمات في شبكات Linux، حيث يمكن لبيانات التعريف غير الموثوقة للمجموع الاختباري إعادة كتابة حقول الحزم الحساسة أمنيًا بعد أن تكون النواة قد تحققت منها وتصرفت بناءً عليها. هذا يقوض الافتراضات عبر مكدس الشبكة إلى ما هو أبعد من مجرد تجاوز الجهاز الافتراضي الأصلي.
على الرغم من أن Linux KVM يستخدم على نطاق واسع، إلا أن AWS، التي تعتمد على KVM، صرحت بأن خدمتها Elastic Compute Cloud ليست في خطر. ومن المرجح أن تكون Google Cloud آمنة أيضًا. تم بالفعل توفير إصلاح أساسي في نواة Linux، وهو في طريقه حاليًا إلى التوزيعات الرئيسية مثل Debian وRHEL وUbuntu، ونأمل أن يصل أيضًا إلى منتجات المحاكاة الافتراضية التي تعتمد على KVM مثل Nutanix وProxmox.
بالنسبة للمطورين والمصممين، يؤكد هذا الاكتشاف على الأهمية القصوى للمراقبة المستمرة وتطبيق التحديثات الأمنية فور توفرها، خاصة في بيئات السحابة التي تعتمد على المحاكاة الافتراضية. نرى أن فهم تفاصيل كيفية تجاوز حدود الثقة داخل مكونات النظام المعقدة مثل مكدس الشبكة يعد أمرًا حيويًا لتطوير أنظمة أكثر مرونة وأمانًا في المستقبل. يجب على الشركات والفرق التأكد من تحديث أنظمتها الأساسية بشكل دوري لحماية البنية التحتية من هذه الفئة الجديدة من الهجمات.
المصدر: theregister.com