Обнаружена уязвимость в виртуальной машине OpenVM, позволяющая удалённо выполнять код

В Банке данных уязвимостей (BDU) была опубликована информация о новой серьёзной уязвимости в платформе OpenVM. Уязвимости был присвоен идентификатор BDU:2025-14814, а также общий идентификатор CVE-2025-46723. Проблема затрагивает базовую версию программного обеспечения 1.0.0 и связана с критической ошибкой в реализации одной из инструкций процессора.

Детали уязвимости

Согласно описанию, проблема кроется в чипе AUIPC, который является частью набора расширений RISC-V (RV32IM). Конкретно, ошибка относится к категории CWE-131, то есть к неверному вычислению размера буфера в байтовом разложении. Эта фундаментальная ошибка программирования может позволить удалённому злоумышленнику манипулировать структурами данных таким образом, что регистр назначения примет несанкционированное значение. Фактически, это создаёт предпосылки для удалённого выполнения кода (RCE).

Оценка по методологии CVSS подчёркивает высокую степень опасности. Например, CVSS 3.1 присваивает уязвимости базовый балл 9.1, что соответствует критическому уровню. Высокий балл обусловлен тем, что для эксплуатации не требуется аутентификация (PR:N), не нужно взаимодействие с пользователем (UI:N), а сама атака может проводиться через сеть (AV:N) с низкой сложностью (AC:L). Основное воздействие заключается в полном нарушении целостности (I:H) и доступности (A:H) системы, хотя конфиденциальность данных напрямую не затрагивается (C:N).

Производитель программного обеспечения, компания Axiom, уже подтвердил наличие уязвимости и оперативно отреагировал. Уязвимость была устранена в обновлённой версии OpenVM 1.1.0. Соответствующий фикс был внесён в код на платформе GitHub. Исправление касается исправления логики вычислений в файле "core.rs", где и была обнаружена исходная ошибка. Сообществу и пользователям настоятельно рекомендуется немедленно обновить своё программное обеспечение до актуальной версии.

На текущий момент нет подтверждённых данных о существовании публичных эксплойтов, использующих эту уязвимость. Однако, учитывая её критический характер и относительную простоту эксплуатации, появление вредоносных скриптов в ближайшее время весьма вероятно. Злоумышленники, особенно представители групп APT, могут попытаться использовать эту брешь для получения первоначального доступа к целевым системам.

Меры по устранению чётко определены. Единственным эффективным способом защиты является установка патча, то есть обновление OpenVM до версии 1.1.0 или выше. Вендор предоставил исчерпывающую информацию в своём консультативном бюллетене по безопасности (GHSA-jf2r-x3j4-23m7), с которым можно ознакомиться на GitHub. Администраторам также рекомендуется отслеживать подозрительную активность, связанную с попытками манипуляции данными в соответствующих сервисах.

Этот случай в очередной раз демонстрирует важность тщательного аудита низкоуровневого кода, особенно в таких фундаментальных компонентах, как виртуальные машины и эмуляторы процессоров. Ошибки на уровне инструкций могут иметь катастрофические последствия для безопасности всей системы. Своевременное обновление прошивок и программного обеспечения остаётся ключевой практикой кибергигиены для предотвращения подобных инцидентов.

Детали уязвимости

Ссылки