🛡️ ช่องโหว่ใหม่ใน Linux Kernel นักวิจัยด้านความปลอดภัยได้เปิดเผยช่องโหว่ Use-After-Free (UAF) ในฟีเจอร์ io_uring ของ Linux Kernel ซึ่งถูกใช้เพื่อหลอกระบบ BPF Verifier ให้เชื่อว่าซอร์สโค้ดที่ไม่ปลอดภัยนั้นปลอดภัย ส่งผลให้ผู้โจมตีสามารถเข้าถึงหน่วยความจำของ Kernel ได้โดยตรง และทำการ Container Escape ออกจากสภาพแวดล้อมที่ถูกจำกัดสิทธิ์ ⚙️ กลไกการโจมตี ช่องโหว่นี้เกิดจากการจัดการหน่วยความจำผิดพลาดใน io_uring ที่เปิดโอกาสให้ผู้โจมตีสร้างเงื่อนไข Use-After-Free และใช้ประโยชน์จากการตรวจสอบที่ผิดพลาดของ BPF Verifier เมื่อโค้ดที่ควรถูกบล็อกกลับถูกอนุญาตให้ทำงาน ผู้โจมตีจึงสามารถรันคำสั่งที่เข้าถึง Kernel Memory ได้โดยตรง ซึ่งเป็นการเปิดทางไปสู่การยกระดับสิทธิ์และการหลบหนีจาก Container 🌐 ผลกระทบต่อระบบ ช่องโหว่นี้มีผลกระทบอย่างมากต่อระบบที่ใช้ Linux Kernel เวอร์ชันใหม่ตั้งแต่ 5.4 ขึ้นไป โดยเฉพาะระบบ Cloud และ Container ที่อนุญาตให้ผู้ใช้ทั่วไปเข้าถึงฟีเจอร์ BPF หากถูกโจมตีสำเร็จ ผู้โจมตีสามารถยกระดับสิทธิ์เป็น root และเข้าถึงระบบ Host ได้ทันที ซึ่งเป็นภัยคุกคามต่อความปลอดภัยของข้อมูลและโครงสร้างพื้นฐาน 🔧 แนวทางป้องกัน ผู้ดูแลระบบควรรีบตรวจสอบเวอร์ชัน Kernel ที่ใช้งาน และติดตั้ง Patch ล่าสุด จากทีมพัฒนา Linux รวมถึงการ ปิดการใช้งาน io_uring ชั่วคราว หากไม่จำเป็น และใช้เครื่องมือ eBPF Monitoring เช่น Falco หรือ Tetragon เพื่อตรวจจับการเรียกใช้งาน io_uring ที่ผิดปกติ 📌 สรุปสาระสำคัญ ✅ รายละเอียดช่องโหว่ ➡️ เกิดจาก Use-After-Free ใน io_uring ➡️ ใช้หลอก BPF Verifier ให้ยอมรับโค้ดอันตราย ✅ ผลกระทบ ➡️ เสี่ยงต่อการ Container Escape ➡️ ผู้โจมตีสามารถยกระดับสิทธิ์เป็น root ✅ แนวทางป้องกัน ➡️ อัปเดต Kernel ให้เป็นเวอร์ชันล่าสุด ➡️ ปิด io_uring หากไม่จำเป็น ➡️ ใช้ eBPF Tools ตรวจสอบการเรียกใช้งานผิดปกติ ‼️ คำเตือน ⛔ ระบบ Cloud และ Container ที่เปิดให้ผู้ใช้ทั่วไปเข้าถึง BPF มีความเสี่ยงสูง ⛔ หากไม่อัปเดต Kernel อาจถูกโจมตีและเข้าถึงข้อมูลสำคัญได้ https://securityonline.info/linux-kernel-io_uring-uaf-flaw-used-to-cheat-bpf-verifier-and-achieve-container-escape-poc-releases/