Linux Çekirdek Açığı Vhost Subsystem’de Root Yetkisi Veriyor

Linux çekirdek açığı, vhost altsisteminde tespit edildi ve yerel kullanıcılara keyfi çekirdek belleği okuma/yazma yetkisi tanıyor. Bu güvenlik zafiyeti, sistemde root ayrıcalıkları elde etmenin önünü açarken, sanallaştırma ortamlarında güvensiz bir sanal makinenin ana bilgisayar belleğine erişmesine ve hatta ana bilgisayardaki sanallaştırma yazılımını manipüle etmesine olanak tanıyor. Yaklaşık on yıldır varlığını sürdürdüğü anlaşılan bu kritik hata, birden fazla Linux dağıtımını etkiliyor. Tencent Zhuque Lab tarafından keşfedilen ve Vghost olarak adlandırılan bu açık, siber güvenlik dünyasında geniş yankı uyandırıyor.

Vghost: On Yıllık Bir Güvenlik Boşluğu

vhost, Linux çekirdeğinin sanal makineler ve konteynerler için ağ ve diğer giriş/çıkış (I/O) işlemlerini hızlandıran kritik bir parçasıdır. Yerel bir kullanıcı, genellikle /dev/vhost-net veya /dev/vhost-vsock gibi aygıt düğümlerini açarak bu altsisteme erişebilir. Keşfedilen güvenlik açığı, CVE-2026-74580 koduyla takip ediliyor ve Vghost adıyla anılıyor. Bu zafiyetin geçmişi oldukça eskilere dayanıyor; yaklaşık dokuz yıl boyunca çekirdek kodunda fark edilmeden kaldı.

Açığın oluşumunda iki önemli çekirdek değişikliği rol oynadı. İlk olarak, 2017 yılında (Linux 4.11) önbellek ve ilgili kısayollar eklendi. Ardından, 2020 yılında (Linux 5.9) adres denetimi, komut aşamasından daha sonraki bir adıma taşındı. Bu değişiklik, eski önbellek çevirisini yakalayabilecek denetimi ortadan kaldırdı ve Vghost açığının ortaya çıkmasına zemin hazırladı.

Çekirdek Belleğine Keyfi Erişim Nasıl Sağlanıyor?

Vghost açığı, vhost’un her sanal halka ve paylaşılan veri taşıma kuyrukları için tuttuğu küçük bellek eşleme önbelleğinin yanlış yönetiminden kaynaklanıyor. Sistem, bir önbellek isabetini, ilgili bellek bölgesinin zaten kontrol edildiğinin kanıtı olarak kabul ediyor. Normalde bu önbellek, eşleme güncellendiğinde, geçersiz kılındığında veya kuyruk sıfırlandığında temizlenir.

Ancak sorun, VHOST_SET_VRING_ADDR veya VHOST_SET_VRING_NUM komutları, kuyruk aktif durumdayken halkanın adreslerini veya boyutunu değiştirdiğinde önbelleğin temizlenmemesidir. Bir aygıt IOTLB (I/O bellek yönetim birimi) takılı olduğunda, bu komutlar yeni adresleri kontrol etmeden kabul eder ve denetimi daha sonraki bir adıma bırakır. Önbellek dolduktan sonra, sonraki denetim asla çalışmaz ve vhost, yeni adresleri eski eşlemeyi kullanarak çevirmeye devam eder. Bu durum, çekirdeğin verileri bu işaretçiye bir sınır denetimi olmaksızın kopyalamasına veya buradan okumasına yol açar, böylece kullanılan halkaya yazma veya bir tanımlayıcıyı okuma, eşlenmiş bölgenin dışına taşar. Bu mekanizma, saldırgana çekirdek okuma ve yazma yetkisi verir.

Sanallaştırma Ortamlarında Vghost’un Yıkıcı Etkisi

Bu güvenlik açığının en endişe verici yönlerinden biri, sanallaştırma ortamlarındaki potansiyel etkisidir. Yerel bir ayrıcalıksız kullanıcının, ana bilgisayar üzerinde rastgele çekirdek adreslerini okuma ve yazma, KASLR’yi (çekirdek adresi alanı düzensizleştirme) atlama ve root ayrıcalıklarına yükselme gibi sağlam yolları bulunuyor. Bu saldırı, deterministiktir; yani belleği düzenleme veya zamanlama şansı gerektirmez.

Daha dar kapsamlı ikinci bir saldırı ise sanal makine kaçışını mümkün kılıyor. Bir sanal makinenin virtio aygıtı, iommu_platform açıkken sanal bir IOMMU arkasına yerleştirildiğinde ve vhost, aygıt-IOTLB modunda çalıştığında, güvensiz bir misafir sanal makine aynı hatayı tetikleyebilir. Bu durum, ana bilgisayar çekirdeğinin ana bilgisayardaki QEMU sürecine sınır dışı yazmasına neden olur. Buradan yola çıkarak, misafir bir sanal makine QEMU’daki bir fonksiyon işaretçisini yeniden yazabilir ve ana bilgisayar sürecinin bir sonraki çalıştırılacağı yeri kontrol edebilir veya süreci çökertebilir. Mevcut durumda, açığın kamuya açık olarak istismar edildiğine dair herhangi bir işaret bulunmuyor.

Geniş Etki Alanı ve Acil Güvenlik Yamaları

Vghost açığı, Linux çekirdeklerinin geniş bir yelpazesini etkiliyor; özellikle 4.11 sürümünden 7.2-rc4 sürümüne kadar olan tüm versiyonlar risk altında. Tencent, bu açığın yerel kullanıcıdan root yetkisi elde etme zincirini beş farklı dağıtım çekirdeğinde başarıyla yeniden üretti: Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023, Microsoft Azure Linux 3.0 ve Oracle Linux 10.2.

Ubuntu üzerinde /dev/vhost-net aygıt düğümü kvm grubuyla sınırlı olduğundan, saldırının başlangıç noktası bu grubun bir üyesi olmakla sınırlıdır. Ancak test edilen diğer dört görüntüde, aygıt düğümü 0666 moduyla herkese açık okunabilir olduğundan, herhangi bir kullanıcının potansiyel olarak açıktan faydalanabileceği görüldü. Tencent Zhuque Lab, bu güvenlik açığı için yamayı 3 Ağustos tarihinde yayımladı ve 12 Ekim’de her iki saldırının da çalışan demolarını içeren detaylı bir rapor sundu. Kullanıcıların ve sistem yöneticilerinin, bu kritik zafiyetten korunmak için en kısa sürede güncellenmiş çekirdek sürümlerine geçmeleri büyük önem taşıyor.

Yapay Zeka Destekli Keşiflerin Sektöre Yansımaları

Vghost açığının yapay zeka tarafından keşfedilmesi, siber güvenlik araştırmalarında yeni bir dönemin habercisi olabilir. On yıl boyunca insan gözünden kaçan bu kadar derinlemesine bir çekirdek hatasının bir makine öğrenimi sistemi tarafından ortaya çıkarılması, geleneksel güvenlik denetim yöntemlerinin sınırlarını ve yapay zeka destekli araçların potansiyelini gözler önüne seriyor. Bu durum, gelecekteki güvenlik açıklarının tespitinde ve yazılım geliştirme süreçlerinde yapay zeka kullanımının artacağını işaret ediyor.

Özellikle çekirdek düzeyindeki zafiyetler, sistemin temelini etkilediği için çok daha ciddi sonuçlar doğurabilir. Yapay zeka, bu tür karmaşık kod tabanlarında gizlenmiş, ince etkileşimlerle ortaya çıkan hataları bulma konusunda benzersiz bir yetenek sunabilir. Ancak bu durum, aynı zamanda yapay zeka tabanlı araçların kendilerinin de güvenlik denetimine tabi tutulması gerekliliğini ortaya koyuyor. Önümüzdeki dönemde, yapay zeka destekli güvenlik araçlarının yaygınlaşmasıyla birlikte, geliştiricilerin ve güvenlik uzmanlarının bu yeni yetenekleri nasıl entegre edeceği ve kötü niyetli aktörlerin bu teknolojiyi kendi amaçları için kullanma potansiyeli, sektörün ana gündem maddelerinden biri olacak gibi görünüyor.