تا پچ اوبونتو برای CVE-2026-80521؛ مرز کانتینر را با microVM سفت کنید

seccomp پیش‌فرض Docker و Kubernetes جلوی خیلی از syscallهای خطرناک را می‌گیرد — ولی سوکت AF_UNIX معمولاً جزو همان «عادی‌ها»ست که اجازه دارد. DepthFirst در ۲۲ سپتامبر نشان داد همین مسیر برای CVE-2026-80521 کافی است: use-after-free در garbage collector یونیکس وقتی با SCM_RIGHTS فایل‌دیسکریپتور رد و بدل می‌شود، از داخل کانتینر به root روی host می‌رسد. CVSS گزارش‌شده ۷٫۸. The Hacker News همان روز نوشت کد exploit منتشر شده است.

فیکس آپ‌استریم از ۶ اوت ۲۰۲۶ در mainline حدود ۷٫۲ و stable ۷٫۱٫۱۰ نشسته. باگ از کرنل ۶٫۱۰ آمده و به شاخه‌های ۶٫۱ و ۶٫۶ هم backport شده. مشکل عملی برای اپراتور اوبونتو این است که در زمان افشا، Ubuntu 26.04 / 24.04 / 22.04 LTS — از جمله cloud kernelها — هنوز آسیب‌پذیر یا در وضعیت work-in-progress روی tracker توزیع بودند. یعنی داشتن «آخرین image رسمی ابر» به‌تنهایی مرز را نمی‌بندد.

اینجا توصیهٔ DepthFirst از «صبر کنید تا apt آپدیت بیاید» فراتر می‌رود: برای workloadهایی که نباید به کرنل مشترک host تکیه کنند، تا رسیدن پچ توزیع، انزوای microVM را جدی بگیرید — Firecracker یا Kata Containers. مدل تهدید عوض می‌شود: مهاجم داخل کانتینر دیگر روی همان کرنل host بازی نمی‌کند.

اگر هنوز روی اوبونتوهای بدون این فیکس هستید، اولویت سه‌لایه است: وضعیت پچ کرنل ابر/LTS را روزانه چک کنید؛ workload پرریسک را پشت microVM ببرید؛ و فرض نکنید namespace و cgroup به‌تنهایی جلوی AF_UNIX UAF را می‌گیرند. تا وقتی بستهٔ کرنل توزیع نرسیده، «کانتینر = مرز امنیتی» برای این CVE جملهٔ خطرناکی است.