Firecracker VM Escape: tadqiqotchilar mikrovirtual mashinadan qochishdi

Tadqiqotchilar Firecracker izolyatsiyalangan muhitidan muvaffaqiyatli qochib chiqib, xost tizimida root huquqlari bilan ixtiyoriy kodni bajarishga erishganliklarini namoyish etdilar. Ushbu tadqiqot PwnEscape maqolalar seriyasining davomi bo'lib, maxsus sozlamalar asosida xavfsizlik mexanizmlari qanday chetlab o'tilishini ko'rsatadi.

• Mehmon tizimdan xost xotirasiga kirish primitivi yordamida jarayon topildi.
• KVM dan qaytish vaqtida saqlangan registrlarni o'zgartirish orqali oqim boshqaruvi qo'lga olindi.
• Hujum xost yadrosining pt_regs tuzilmasidagi ma'lumotlarni o'qish va tahrirlashga asoslangan.

Firecracker arxitekturasi va tahdid mexanizmi

Firecracker mikrovirtual mashinasi xostda ishlaydigan alohida jarayon tomonidan boshqariladi. Har bir virtual protsessor (vCPU) xost jarayonida o'z oqimiga ega bo'lib, u mehmon kodini bajarish uchun KVM ga kiradi va foydalanuvchi fazosida hodisalarni qayta ishlash zarur bo'lganda Firecracker'ga qaytadi. Tizimli chaqiruv vaqtida xost yadrosi oqim registrlarini pt_regs tuzilmasida saqlaydi.

Ko'rsatgichlar va stek manzillari oqimning holatini belgilaydi. Tadqiqotchilar KVM_RUN chaqiruvidan qaytish nuqtasini nishonga olib, saqlangan freymni o'zgartirish orqali Firecracker ishga tushiradigan kodni boshqarish mumkinligini aniqladilar. Buning uchun EPT (Extended Page Tables) tarjimalari yordamida xost xotirasini skanerlash qo'llanildi.

Xotirani qidirish va EPT tahlili

Mehmon va xost turli xil jismoniy manzil fazolaridan foydalanadi. Mehmon sahifasida maxsus baytlar naqshini (nonce) joylashtirish orqali tadqiqotchilar EPT ildizlarini qidirish yordamida mehmon manzili xostning qaysi apparat manziliga to'g'ri kelishini aniqlashdi.

Teskari xaritalagich (reverse mapper) xost sahifa jadvallarini tahlil qilib, Firecracker jarayonining PGD (page global directory) ildizini tikladi. ASLR (Address Space Layout Randomization) mexanizmini chetlab o'tish uchun ikkilik faylning yuklanish siljishi aniqlandi va xost xotirasidagi muhim kod manzillari topildi.

Oqimni egallash va kodni bajarish

Ekspluatatsiyaning yakuniy bosqichi vCPU oqimining pt_regs freymini topishdan iborat bo'ldi. KVM_RUN dan qaytish manzili va stekni tekshirish orqali tadqiqotchilar kerakli registrlar freymining xostdagi jismoniy manzilini aniqlashdi.

Topilgan freymni o'zgartirish oqim tizimli chaqiruvdan foydalanuvchi fazosiga qaytayotgan paytda boshqa kodni bajarishiga sabab bo'ldi. Natijada virtual mashinaning barqaror ishlashi saqlangan holda xost darajasida hujumchining kodi bajarildi.

Dasturchilar va biznes uchun ahamiyati

Bunday murakkab darajadagi hujumlar bulutli infratuzilmalarda izolyatsiya va xavfsizlikni ta'minlash qanchalik qiyinligini ko'rsatadi. Firecracker jamoasi xavfsizlikni doimiy ravishda yaxshilab borsa-da, quyi darajadagi xotirani boshqarish va virtualizatsiya komponentlaridagi zaifliklar jiddiy e'tibor talab qiladi.