Vghost: KI-funnet feil i Linux-kjernen gir root og lar en VM angripe verten
onsdag 14. oktober · KI-generert · Kilde: Tencent Zhuque Lab
Oppdater kjernen på KVM-vertene dine og fjern verdenstilgangen til /dev/vhost-net og /dev/vhost-vsock til fiksen er installert.
Tencent Zhuque Lab publiserte 12. oktober en full gjennomgang av Vghost (CVE-2026-74580), en minnefeil i Linux-kjernens vhost-delsystem som lar en vanlig lokal bruker lese og skrive vilkårlig kjerneminne og bli root. Kernel.org scorer den 8,8 (High). Feilen finnes i kjerner fra 4.11 til 7.2-rc4, altså nesten ti år med utgivelser, og fiksen kom inn i mainline 3. august.
vhost akselererer nettverk og I/O for virtuelle maskiner. Feilen sitter i en hurtigbuffer som ikke tømmes når ringens adresse endres, så kjernen fortsetter å oversette nye adresser med en gammel mapping, uten grensesjekk. Angrepet er deterministisk, uten heap grooming eller race. Tencent kjørte samme exploit mot fem distroer: Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023, Azure Linux 3.0 og Oracle Linux 10.2. På de fire siste hadde /dev/vhost-vsock modus 0666, så enhver bruker nådde den. Ubuntu begrenser den til kvm-gruppen.
Den andre angrepsveien er smalere. Står en virtio-enhet bak en virtuell IOMMU med iommu_platform slått på, kan en gjest få vertskjernen til å skrive utenfor grensene inn i QEMU-prosessens heap og overta en funksjonspeker. For den veien finnes ingen midlertidig løsning, bare patchet kjerne.
«Det minner oss om at betrodde sikkerhetsgrenser for isolasjon kanskje må vurderes på nytt.» — Tencent Zhuque Lab
Feilen ble funnet av Corvus AI, Tencents multi-agent-system for kjerneforskning. Ifølge laben fant det feilen på 2 timer, med Tencent Hunyuans Hy4-preview i løkka for å verifisere exploiten og teste patchen. Samme pipeline sto bak SCTP-feilen som ble avslørt i august. Ubuntus kjerner for 24.04 og 26.04 var fortsatt under arbeid 13. oktober, skriver The Hacker News.
Hva bør du gjøre?
- Installer en kjerne med commit de845981da67 og start på nytt. Første fiksede stabile versjoner er blant annet 6.1.183, 6.6.152, 6.12.104, 6.18.45 og 7.1.9.
- Kjør
ls -l /dev/vhost-net /dev/vhost-vsock. Har de verdenstilgang, fjern den, og behandle medlemskap i kvm-gruppen som privilegert. - Ikke gi uklarerte containere tilgang til vhost-enhetene via device-cgroup eller runtime-konfigurasjon.