🇰🇷 한글 설명
Linux 커널의 VMSCAPE 취약점으로, 게스트 VM과 사용자 공간 하이퍼바이저(QEMU 등) 간의 CPU 분기 예측기 격리 부족 문제입니다. VMexit 후 IBPB(간접 분기 예측기 배리어)를 조건부로 발행하여 사용자 공간을 추가로 보호합니다.
💡 쉬운 설명
가상 머신이 CPU의 예측 기능을 오염시켜 호스트 컴퓨터의 프로그램에 영향을 줄 수 있는 보안 문제입니다. 패치는 VMexit 시점에 CPU 예측 캐시를 정리하여 격리를 강화합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
x86/vmscape: Add conditional IBPB mitigation
VMSCAPE is a vulnerability that exploits insufficient branch predictor
isolation between a guest and a userspace hypervisor (like QEMU). Existing
mitigations already protect kernel/KVM from a malicious guest. Userspace
can additionally be protected by flushing the branch predictors after a
VMexit.
Since it is the userspace that consumes the poisoned branch predictors,
conditionally issue an IBPB after a VMexit and before returning to
userspace. Workloads that frequently switch between hypervisor and
userspace will incur the most overhead from the new IBPB.
This new IBPB is not integrated with the existing IBPB sites. For
instance, a task can use the existing speculation control prctl() to
get an IBPB at context switch time. With this implementation, the
IBPB is doubled up: one at context switch and another before running
userspace.
The intent is to integrate and optimize these cases post-embargo.
[ dhansen: elaborate on suboptimal IBPB solution ]
📍 영향받는 시스템
Linux 커널 (KVM/QEMU 등 가상화 환경)
⚔️ 공격 벡터
게스트 VM의 악의적 코드가 분기 예측기를 오염시켜 VMexit 후 호스트 userspace 응용프로그램의 정보 노출 유도
🛡️ 대응 방법
최신 Linux 커널로 업데이트하여 VMSCAPE 완화책(조건부 IBPB) 적용
🔧 검증 코드
커널 버전과 IBPB 활성화 상태를 확인하며, 최신 커널 버전이고 IBPB가 활성화되어 있으면 완화책이 적용된 상태입니다.
uname -r | grep -E '[0-9]+\.[0-9]+' && cat /sys/kernel/debug/x86/ibpb_enabled 2>/dev/null || echo 'IBPB check unavailable'