گزارش‌های اخیر حاکی از آن است که یک پژوهشگر امنیتی موفق به شناسایی یک نقص امنیتی بسیار خطرناک از نوع VM Escape در هایپروایزر KVM شده است. این آسیب‌پذیری به مهاجم اجازه می‌دهد تا از محیط ایزوله ماشین مجازی (Guest) خارج شده و دسترسی ریشه (Root) را در سیستم میزبان (Host) به دست آورد.
جزئیات کشف و تأثیرات
این نقص امنیتی توسط Paulos Yibelo در جریان برنامه Bug Bounty شرکت Vercel شناسایی شد. این شرکت برای ایجاد محیط‌های Sandbox جهت اجرای ایجنت‌های هوش مصنوعی از Firecracker MicroVMs استفاده می‌کند؛ تکنولوژی‌ای که توسط AWS توسعه یافته و بر پایه Linux KVM بنا شده است.
مدیرعامل Vercel، Guillermo Rauch، تأیید کرده است که یک زیرو دِی (Zero-Day) در KVM شناسایی شده که یکی از استانداردهای طلایی مجازی‌سازی لینوکس در سطح صنعت است. با توجه به اینکه KVM در زیرساخت‌های ابری عظیمی مانند AWS و Google Cloud و همچنین در راهکارهای سازمانی نظیر Nutanix، HPE و Proxmox به طور گسترده استفاده می‌شود، این آسیب‌پذیری پتانسیل تخریب بسیار بالایی دارد.
چالش‌های امنیتی و مدیریت ریسک
- سناریوی کابوس مجازی‌سازی: در یک حمله VM Escape، مهاجم می‌تواند کنترل کامل سرور میزبان را در دست بگیرد و احتمالاً به سایر ماشین‌های مجازی موجود در آن سرور نیز دسترسی پیدا کند.
- گستردگی سطح حمله: به دلیل متن‌باز بودن Firecracker و استفاده گسترده از KVM در دیتاسنترهای جهان، تعداد سیستم‌های در معرض خطر بسیار زیاد است.
- فرآیند اصلاح: در حال حاضر جزئیات فنی این نقص منتشر نشده تا از سوءاستفاده احتمالی جلوگیری شود. پس از انتشار وصله، چالش اصلی این است که آیا به‌روزرسانی نیازمند توقف سرویس (Downtime) است یا می‌توان از طریق Hot-patching و انتقال زنده (Live Migration) ماشین‌ها، مشکل را بدون قطع سرویس حل کرد.
