Linux Kernel'deki Vhost Açığı: Yerel Kullanıcılar Root Erişimi Elde Edebiliyor

Linux çekirdeğindeki vhost alt sisteminde bulunan bir güvenlik açığı, yerel kullanıcıların çekirdek belleğine erişim sağlamasına ve neredeyse on yıl boyunca süregelen çekirdek sürümlerinde root yetkisi kazanmasına olanak tanıyor. Bu açık, sanallaştırma ortamlarında, güvenilmeyen bir sanal makinenin ana makinenin belleğine yazmasına ve sanal makineyi yöneten programı ele geçirmesine neden olabiliyor.

Açığın Detayları ve Etkilediği Sürümler

Açık, CVE-2026-74580 olarak takip ediliyor ve Vghost adıyla biliniyor. Tencent Zhuque Laboratuvarı tarafından keşfedilen bu açık için 3 Ağustos'ta bir düzeltme yayımlandı ve 12 Ekim'de detaylı bir rapor ile birlikte çalışır durumdaki saldırı örnekleri paylaşıldı. Şu ana kadar bu açığın kötüye kullanıldığına dair bir halka açık bir işaret bulunmuyor.

Açık, Linux çekirdeklerinin vhost bileşeninde yer alıyor. Bu bileşen, sanal makineler ve konteynerler için ağ ve diğer girdi/çıktı işlemlerini hızlandırıyor. Yerel bir kullanıcı, genellikle /dev/vhost-net veya /dev/vhost-vsock cihaz düğmesini açarak bu bileşene erişebiliyor.

Saldırı Yöntemleri ve Sonuçları

Açık, bir dizi saldırı yöntemine olanak tanıyor. Birincisi, yetkisiz bir kullanıcının herhangi bir çekirdek adresini okuma ve yazma yetkisi kazanmasını sağlıyor. Bu saldırı, bellek düzenlemesi veya şanslı zamanlama gerektirmeden deterministik bir şekilde gerçekleşiyor.

İkincisi ise daha dar bir alanda etkili. Eğer bir sanal makinenin virtio cihazı sanal bir IOMMU arkasında yer alıyorsa ve vhost cihaz-IOTLB modunda çalışıyorsa, güvenilmeyen bir misafir aynı açığı tetikleyerek ana makine çekirdeğinin QEMU sürecine sınır dışı yazmasına neden olabiliyor. Bu durumda, misafir, QEMU'daki bir işlev işaretçisini değiştirebilir ve ana sürecin bir sonraki çalışacağı yeri kontrol edebilir ya da çökmesine neden olabilir.

Düzeltme ve Güvenlik Önlemleri

Açığın düzeltilmesi için yapılan değişiklikler, ring yeniden yapılandırıldığında önbelleğin temizlenmesini sağlıyor. Kullanıcıların, bu düzeltmeyi içeren bir çekirdek kurması ve sistemi yeniden başlatması gerekiyor. Red Hat, Amazon Linux ve Oracle Linux bu düzeltmeyi yayımladı. Ubuntu ise 22.04 sürümünü düzeltmiş durumda, ancak 24.04 ve 26.04 sürümleri için çalışmalar devam ediyor.

Kullanıcılar, düzeltme uygulanana kadar vhost cihaz düğmelerine erişimi kısıtlamalı, /dev/vhost-net ve /dev/vhost-vsock için dünya erişimini kaldırmalı ve güvenilir sanallaştırma hizmetlerine sahip gruplara erişimi sınırlamalıdır.

Sonuç

Bu açık, yüksek tehlike derecesine sahip olarak değerlendiriliyor. Açığın etkisi, misafirden ana makineye yazma işleminin, ana makinenin QEMU sürecindeki belleğe ulaşmasını sağlaması nedeniyle kritik bir durum oluşturuyor. Ancak, düzeltme uygulanmadığı sürece bu açığın kötüye kullanılma riski devam ediyor.