Новая угроза для изолированных сред
Разработчики ядра Linux 7.4, запланированного на октябрь 2026 года, интегрировали критические патчи безопасности для платформы Intel Trust Domain Extensions (TDX). Новая функция, известная ранее как Notify VM Exit, но переименованная Intel в Instruction Timeout, предназначена для предотвращения атак типа «отказ в обслуживании» (DoS) со стороны злоумышленников, получивших доступ к защищенным виртуальным машинам.
Уязвимость заключается в том, что вредоносная гостевая VM может заблокировать обработку прерываний или событий, тем самым «заглушив» хост-систему или заблокировав ядро процессора. Это делает сервер недоступным для других легитимных задач.
Двойная защита: Timeout и Bus Lock
Помимо Instruction Timeout, в ветку KVM TDX для Linux 7.4 добавлена поддержка Bus Lock VM Exit. Эта функция принудительно переводит виртуальную машину в пользовательское пространство всякий раз, когда гостевой процессор выполняет инструкцию блокировки шины (bus lock). Это предотвращает монополизацию ресурсов памяти и шины процессора, что часто используется в атаках на производительность.
Технические детали реализации
Патчи были отправлены в очередь KVM-дерева ядра в рамках pull-запроса, нацеленного на релиз Linux 7.4. Интеграция происходит на уровне гипервизора KVM, что позволяет перехватывать опасные инструкции до того, как они нанесут ущерб стабильности хоста.
| Функция | Предыдущее название | Цель защиты | Механизм действия |
|---|---|---|---|
| Instruction Timeout | Notify VM Exit | DoS-атаки через блокировку прерываний | Прерывает выполнение инструкций, ведущих к зависанию хоста |
| Bus Lock VM Exit | — | Блокировка шины процессора | Вынуждает VM выйти в пользовательское пространство при выполнении lock-инструкций |
Почему это важно
Intel TDX позиционируется как технология для создания изолированных сред выполнения (Confidential Computing), аналогично AMD SEV. Однако без этих механизмов защиты сама архитектура TDX могла стать вектором атаки на физический сервер. Обновление Linux 7.4 закрывает эту брешь, делая коммерческие облачные решения на базе Intel TDX безопаснее для многопользовательских сред.
Источник: Phoronix ↗