16 éves biztonsági rés a Linux rendszerekben – hogyan lehet kitörni a "digitális dobozból"

Mi is az a probléma, dióhéjban? Képzeljünk el egy nagy szállodát, ahol minden vendég a saját, zárt szobájában lakik, és elméletileg nem tud bejutni a szomszéd szobájába vagy a szálloda központi vezérlőtermébe. A számítógépes felhőszolgáltatók (mint amilyenek az Amazon, a Google vagy más nagy szerverüzemeltetők) hasonlóan működnek: egyetlen fizikai gépen sok különböző ügyfél "virtuális gépe" fut egymástól elszigetelve. Ezt az elszigetelést egy Linuxban futó program biztosítja, amit KVM-nek hívnak – ez olyan, mint a szálloda biztonsági rendszere, amely gondoskodik róla, hogy senki ne tudjon kijutni a saját szobájából a mások szobájába vagy a gépházba.

Most kiderült, hogy ebben a biztonsági rendszerben 2010 óta, vagyis 16 éve létezik egy rés, amelyet eddig senki nem vett észre. Ez a hiba lehetővé teszi, hogy valaki, aki a saját "szobájában" (vagyis a saját virtuális gépén) teljes irányítással rendelkezik, kitörjön onnan, és hozzáférjen a szálloda egészét irányító központi rendszerhez – vagyis magához a fizikai szerverhez, amelyen más ügyfelek adatai is futnak. A hibát a szakemberek "Januscape" névre keresztelték, hivatalos azonosítója CVE-2026-53359. Ez a fajta problémákat az iparban egyedi számokkal jelölik, hogy könnyen lehessen róluk beszélni és nyomon követni a javításukat.

A hibát Hyunwoo Kim biztonsági kutató fedezte fel és hozta nyilvánosságra. A probléma egy olyan régi, ritkán használt funkcióban rejlik, amit "beágyazott virtualizációnak" hívnak – ez olyasmi, mint amikor a szállodai szobán belül a vendég saját maga is felállít egy kisebb, ideiglenes szobát. Ehhez a rendszer egy "emlékeztető listát" vezet arról, mely memóriaterületek melyik vendéghez tartoznak. A hiba lényege, hogy a rendszer eddig csak azt ellenőrizte, melyik vendéghez tartozik egy adott memóriaterület, de azt már nem nézte meg, milyen "szerepben" használják azt. Ez olyan, mintha a szálloda csak azt nézné, kié a kulcskártya, de nem azt, hogy az adott kártya épp a saját szobájához vagy a takarítószertárhoz nyit-e ajtót. Emiatt egy már felszabadított, más célra visszaadott memóriaterületet tévesen újra fel lehetett használni – ezt hívják a szakemberek "use-after-free" hibának, ami a számítógépes biztonságban az egyik legveszélyesebb és leggyakrabban kihasznált hibatípus. A lényeg: ehhez a támadáshoz nincs szükség a szálloda (vagyis az üzemeltető) közreműködésére – elég, ha valaki a saját, bérelt szobájában ül, és ott elindítja a támadó programot.

Mennyire veszélyes ez a gyakorlatban?

A kutatók már el is készítettek egy úgynevezett "proof-of-concept" kódot – ez egy olyan próbaprogram, amely bizonyítja, hogy a hiba valóban kihasználható, anélkül, hogy komoly kárt okozna. Ez a próbakód megbízhatóan le tudja fagyasztani az egész fizikai szervert, ami azt jelenti, hogy egyetlen rosszindulatú ügyfél az egész gépen futó összes többi ügyfél virtuális gépét is összeomlaszthatja. Ez olyan, mintha egyetlen szállóvendég szándékosan kirobbantaná az egész szálloda áramellátását, mindenki mást is sötétben hagyva. Kim szerint emellett létezik egy még veszélyesebb változat is, amellyel a támadó nemcsak lefagyasztani tudná a rendszert, hanem teljes irányítást is szerezhetne a fizikai gép felett – ezt a változatot azonban egyelőre nem hozták nyilvánosságra, feltehetően azért, hogy a rosszindulatú szereplők ne tudják azonnal bevetni.

A probléma elsősorban azokat a felhőszolgáltatókat érinti, akik lehetővé teszik ügyfeleiknek a "beágyazott virtualizáció" használatát – vagyis azt, hogy egy bérelt virtuális gépen belül az ügyfél saját maga is virtuális gépeket futtathasson. Az Amazon Web Services a hiba súlyosságát 7-es pontszámra értékelte egy 10-fokú skálán, ami komoly, de nem a legsúlyosabb kategóriát jelenti. Egyes rendszereken – ott, ahol bizonyos beállítások lazábbak a szokásosnál – a hiba még ennél is tovább mehet: nemcsak a virtuális gépek közötti korlátokat lehet átlépni vele, hanem akár teljes rendszergazdai jogosultságot is lehet szerezni magán a gépen. Egy felhőszolgáltató cég biztonsági közleményében megerősítette, hogy a hiba minden olyan érintett rendszert veszélyeztet, ahol ezt a beágyazott virtualizációs funkciót nem megbízható – vagyis külső, ismeretlen – felhasználók is elérhetik. Ideiglenes megoldásként azt javasolták, hogy egyszerűen kapcsolják ki ezt a funkciót, amíg nincs végleges javítás.

A jó hír, hogy a végleges javítás már elkészült és elérhető: 2026. július 4-én több frissített verziót is kiadtak a Linux rendszermag fejlesztői. A javítás lényege, hogy mostantól a rendszer nemcsak azt nézi, kié egy adott memóriaterület, hanem azt is, milyen szerepben használják – vagyis pontosan azt a hiányzó ellenőrzést pótolja, ami miatt a probléma egyáltalán kialakulhatott. Azoknak az üzemeltetőknek, akik nem tudják azonnal telepíteni a frissítést, két gyors, ideiglenes megoldást javasolnak: vagy kapcsolják ki teljesen a beágyazott virtualizációs funkciót, vagy korlátozzák annak elérését kizárólag megbízható, ellenőrzött felhasználókra. Összefoglalva: egy 16 éve lappangó, eddig senki által fel nem fedezett biztonsági rés került napvilágra, amely elméletileg lehetővé tenné, hogy egy felhőben bérelt virtuális gép "rabja" kitörjön onnan, és akár az egész fizikai szervert irányítása alá vonja. A javítás már elérhető, a felhőszolgáltatóknak és rendszergazdáknak most az a dolguk, hogy minél gyorsabban telepítsék azt.

FORRÁS: VexxHost