פורסם קוד ניצול לפגיעות בליבת לינוקס המאפשרת בריחה ממכולה באובונטו

חברת אבטחה פרסמה קוד ניצול (exploit) לפגיעות בליבת לינוקס שמאפשרת לתהליך ללא הרשאות בתוך מכולה לפרוץ ממנה ולקבל הרשאות רוט על המחשב המארח. הפגיעות עדיין ללא תיקון רשמי בגרסאות ה-LTS העדכניות של Ubuntu, כולל אלו הרצות בענן.

מה קרה

הפגיעות היא באג use-after-free במנגנון איסוף הזבל (garbage collector) של סוקטי AF_UNIX בליבת לינוקס. תנאי מירוץ (race condition) גורם למנגנון לראות הפניות חדשות לפני שהנתונים שנושאים אותן נכנסו לתור, מה שמאפשר שחרור מוקדם של זיכרון וגישה חוזרת אליו לאחר מכן. מכיוון שסוקטי AF_UNIX מותרים כברירת מחדל במרבית המכולות, הניצול עוקף את בידוד ה-namespace ואת מסנני seccomp בלי להזדקק להרשאות מיוחדות.

חברת המחקר שפרסמה את הממצא הדגימה את הניצול מול Ubuntu 26.04 LTS תוך שימוש אך ורק בסוקטי AF_UNIX, העברת מתארים בשיטת SCM_RIGHTS וקריאות מערכת סטנדרטיות — כולן מותרות כברירת מחדל בפרופיל seccomp של Docker ובתקני האבטחה הבסיסיים של Kubernetes.

נקודות לשים לב

• אין עדיין עדכון רשמי מ-Ubuntu לגרסאות ה-LTS — עקוב אחרי מעקב האבטחה של Ubuntu לעדכון הקרוב, ואל תסתמך על תאריך יעד קבוע.
• אין עדיין workaround רשמי; ארגונים שמריצים עומסי עבודה לא מהימנים במכולות על גבי Ubuntu כדאי שישקלו מעבר זמני לבידוד ברמת microVM, כמו Firecracker או Kata Containers, שמריצים ליבה נפרדת לכל מכולה.
• הפגיעות רלוונטית גם לעומסי עבודה בענן — חבילות הליבה העדכניות ל-AWS, Azure ו-GCP על גבי Ubuntu 22.04 ו-24.04 חשופות גם הן.
• מכיוון שקוד הניצול כבר פורסם בפומבי, פער הזמן עד לתיקון הרשמי הוא חלון סיכון ממשי — במיוחד בסביבות ריבוי-דיירים (multi-tenant) שמריצות מכולות ממקורות לא מהימנים.
• אין עדיין דיווח על ניצול בפועל מחוץ למחקר שפורסם — זו פגיעות בסיכון גבוה, לא התקפה מתמשכת מתועדת.

מקורות: The Hacker News