PwnEscape в Linux позволяет гостевой ВМ читать память хоста
В ядре Linux обнаружена критическая уязвимость CVE-2026-99999, получившая название PwnEscape: код внутри гостевой виртуальной машины может читать память хоста. Запись CVE получила оценку 9,3 из 10, а исследователь Paulos Yibelo из pwn.ai продемонстрировал утечку в производственных песочницах Vercel.
Проблема затрагивает сетевой код ядра Linux и потому не сводится к конфигурации одного облачного провайдера. Vercel использует Firecracker microVM для изоляции клиентского кода на bare-metal-хостах Amazon EC2, однако уязвимый компонент работает на стороне хоста.
Что показала демонстрация
По описанию pwn.ai, специально сформированные сетевые пакеты из гостевой ВМ позволяли читать память хоста, вызвать его сбой и в лабораторных условиях выполнить на нём код. При тестировании песочниц Vercel каждый отправленный пакет мог вернуть примерно 32 байта памяти хоста; передачу можно было повторять, пока гостевая система продолжает отправлять пакеты.
Сбой и выполнение кода исследователь наблюдал только на собственных системах, настроенных аналогично инфраструктуре Vercel. Двух специально подготовленных пакетов было достаточно, чтобы аварийно завершить работу хоста и всех запущенных на нём песочниц. Получение административного контроля над хостом также заявлено только для лабораторной среды, а не для производственной инфраструктуры поставщиков.
Vercel сообщила, что в рамках конкурса не было подтверждено чтение файлов клиентов, секретов или данных приложений. Для эксплуатации атакующему требуется уже выполнять код внутри гостевой ВМ: в CVE указан локальный вектор атаки, поэтому отправки пакетов из открытого интернета недостаточно. Уязвимость не числится в каталоге CISA активно эксплуатируемых проблем, и сведений о применении в реальных атаках нет.
Исправление и проверка хостов
Исправление внесено коммитом Linux 6785011f8b16, подготовленным Michael S. Tsirkin из Red Hat. Оно запрещает данным контрольной суммы пакета указывать в заголовок IPv4 до обработки пакета и добавляет проверки в пяти местах сетевого кода. Автор изменения называет его защитой в глубину и отмечает, что более полная проверка пути поступления пакетов в ядро ещё требует работы.
Патч перенесён в стабильные ветки. Первыми исправленными версиями названы 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 и 7.2.11. Дистрибутивы могут включать исправление без смены номера версии, поэтому проверять нужно бюллетень поставщика и ядро, реально загруженное на хосте.
Контекст угрозы дополняют Linux-руткиты и риски для инфраструктуры, где рассматриваются Linux-руткиты и другие риски для инфраструктуры. В данном случае обновление только гостевого ядра не устраняет проблему: необходимо обновить ядро хоста до исправленной версии или сборки поставщика и перезагрузить систему.
Что это означает для эксплуатации облака
Vercel проводила двухнедельный конкурс на поиск выхода из песочницы с общим фондом до 1 млн долларов. Компания выплатила 242 тыс. долларов за 1 285 отчётов, а PwnEscape стала единственной критической находкой. pwn.ai сообщила, что нашла дефект за три дня с помощью собственной системы исследования с ИИ, при участии людей в постановке и проверке результатов.
Для бизнеса практический вывод конкретен: инвентаризировать хосты виртуализации и песочниц, сверить установленное ядро с бюллетенями поставщиков, установить доступные обновления и перезагрузить хосты. Если обновление откладывается, изоляция процессов и отключение вложенной виртуализации могут ограничить последствия, но не заменяют исправление ядра.