چگونه نقص مدیریت حافظه در لینوکس امنیت کانتینرها را به خطر انداخت؟

تصور کنید یک کاربر بدون هیچ دسترسی مدیریتی، تنها با بهره‌برداری از یک تداخل زمانی در هسته لینوکس، تمام دیوارهای امنیتی کانتینر را دور بزند و به سیستم میزبان دسترسی پیدا کند. این سناریوی خطرناک، مکانیسم اصلی CVE-2026-53361 است؛ یک آسیب‌پذیری بحرانی که در ۱۲ اوت ۲۰۲۶ در یک گزارش فنی در GitHub افشا شد و امکان خروج کامل از کانتینر (Container Escape) را فراهم می‌کند.

این نقص امنیتی به‌شدت ناامیدکننده است، زیرا سومین بار است که تعامل مشابهی در هسته لینوکس اصلاح می‌شود. طبق مستندات فنی، تلاش‌های قبلی برای رفع مشکل رابطه بین جمع‌آوری‌کننده زباله (GC) — شبیه به یک مامور نظافت که حافظه‌های بلااستفاده را پاک می‌کند تا سیستم پر نشود — و پرچم MSG_PEEK در CVE-2021-0920 و CVE-2026-23394 رخ داده بود. تکرار این باگ نشان می‌دهد که همگام‌سازی شمارش ارجاعات سوکت در عملیات‌های هم‌زمان، چالشی بنیادین در معماری هسته است.

همان‌طور که در بحث‌های گذشته ما درباره‌ی امنیت مدل‌های بازمتن و زیرساخت‌های آن‌ها اشاره کردیم، لایه‌های زیرین سیستم‌عامل همواره نقطه ضعف زنجیره هستند.

به نقل از گزارش GitHub، این اکسپلویت مستقیماً AF_UNIX GC را هدف قرار می‌دهد؛ بخشی که سوکت‌هایی را که در چرخه‌های ارجاع غیرقابل دسترس قرار گرفته‌اند، بازپس می‌گیرد. خطا زمانی رخ می‌دهد که یک عملیات MSG_PEEK هم‌زمان روی یک توصیف‌گر فایل (File Descriptor)، ارجاعی را می‌گیرد که سیستم شناسایی GC آن را نمی‌شمارد. از آنجا که پرچم gc_in_progress ممکن است در میانه اجرا به اشتباه «غلط» خوانده شود، جمع‌آوری‌کننده سوکتی را که هنوز فعال است آزاد می‌کند و یک sk_buff معلق به جای می‌گذارد.

بر اساس بررسی‌های فنی، دامنه این آسیب‌پذیری به شرح زیر است:

• Stable 6.12: آسیب‌پذیر تا نسخه 6.12.94؛ در نسخه 6.12.95 اصلاح شد.
• Ubuntu 24.04 HWE (6.17): آسیب‌پذیر تا نسخه 6.17.0-41.
• RHEL 10 (6.12): آسیب‌پذیر و هدف مستقیم این اکسپلویت.
• Debian Trixie (6.12): آسیب‌پذیر تا نسخه 6.12.94+deb13-cloud-amd64.

برای متخصصان زیرساخت، این یعنی جداسازی استاندارد کانتینرها در این نسخه‌ها، تضمینی برای امنیت نیست. این اکسپلویت برای سیستم‌هایی با ۲ تا ۷ پردازنده (CPU) بهینه شده است، هرچند نویسنده اشاره می‌کند که با استراتژی‌های پیچیده‌تر، این محدوده قابل گسترش است.

این کشف، این فرض را که وصله‌های قبلی AF_UNIX قطعی بوده‌اند، به چالش می‌کشد و یک نقطه کور دائمی در نحوه مدیریت حافظه سوکت‌ها تحت شرایط Race Condition را آشکار می‌کند.

گام بعدی شما

• فوراً نسخه هسته سیستم‌های خود را با دستور uname -r بررسی کنید.
• به‌روزرسانی‌های امنیتی برای محیط‌های Ubuntu 24.04 و RHEL 10 را در اولویت قرار دهید.
• در محیط‌های چندمستاجری (Multi-tenant)، دسترسی‌های سوکت‌های یونیکس را بازبینی کنید.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.