KVM hipervizöründe sanal makineden ana sunucuya kaçış açığı bulundu

Bulut bilişim altyapılarında yaygın olarak kullanılan KVM (Kernel-based Virtual Machine) teknolojisinde konuk sanal makineden ana sunucuya tam yetkiyle erişim sağlayan sıfırıncı gün açığı tespit edildi. Güvenlik araştırmacısı Paulos Yibelo tarafından keşfedilen güvenlik açığını Vercel Sandbox ödül programı kapsamında doğrulayan Vercel CEO'su Guillermo Rauch, gelişmeyi sosyal medya platformu X üzerinden kamuoyuna duyurdu. Güvenlik açığı, saldırganların bir mikro sanal makineden doğrudan EC2 ana sistemine sızarak kök kullanıcı yetkilerine ulaşmasına olanak tanıyor.

Araştırmacının aktardığı bilgilere göre açık, aynı fiziksel sunucuyu paylaşan farklı kiracılar arasında veri okuma, veri değiştirme ve uzaktan kod çalıştırma risklerini barındırıyor. Açığın etkilediği yazılım sürümleri ve teknik çalışma mekanizması henüz kamuoyuna açıklanmadı; zafiyete yönelik resmi bir CVE kodu da henüz atanmadı. Doğrulanmış herhangi bir aktif saldırı vakası bildirilmezken, Vercel Sandbox ortamının yalın sunuculu EC2 makineleri üzerinde KVM ve açık kaynaklı Firecracker mikroVM mimarisiyle çalıştığı biliniyor.

Yibelo'ya buluşu karşılığında Vercel Sandbox programının tavan tutarı olan 50 bin dolar ödül verildi. Verilen miktar siber güvenlik uzmanları arasında tartışma yarattı; kimi uzmanlar böylesi kritik bir hipervizör açığının yasa dışı pazarlarda 1 milyon dolara kadar alıcı bulabileceğini belirtti. Vercel CTO'su Malte Ubl ise küresel teknoloji şirketlerini ve bulut sağlayıcılarını etkileyen geniş kapsamlı zafiyetler için ortak bir ödül fonu oluşturulması gerektiğini söyledi.