Una vulnerabilidad crítica en el núcleo de Linux permite la evasión de máquinas virtuales

macro shot of stainless steel padlock — Jose Fontano / Unsplash

Una falla de seguridad denominada PwnEscape afecta a los servidores de Linux que utilizan KVM como sistema anfitrión para máquinas virtuales, permitiendo que estas escapen de su aislamiento. Esta vulnerabilidad podría permitir que un cliente malintencionado de un proveedor de servicios en la nube comprometa el anfitrión de virtualización y manipule las máquinas virtuales de otros clientes.

El problema se localiza en el código de red del núcleo de Linux. Una máquina virtual puede definir, mediante metadatos de virtio al enviar paquetes, el lugar donde el núcleo escribirá posteriormente la suma de comprobación del transporte. El núcleo valida incorrectamente esta posición, lo que provoca que la suma de comprobación pendiente se ubique en un lugar erróneo de la memoria. Los investigadores de pwn.ai lograron evadir el entorno aislado de la máquina virtual en repetidas ocasiones mediante un exploit en un entorno de laboratorio, además de provocar el colapso del virtualizador y de todas las máquinas virtuales alojadas en él.

Los investigadores describen esto como una nueva clase de vulnerabilidades llamada inversión de confianza de metadatos diferidos. Se trata fundamentalmente de un error de tiempo de comprobación y tiempo de uso, aunque ocurre sin la condición de carrera habitual para este tipo de fallos, requiriendo únicamente una operación de escritura diferida en la memoria controlada por el atacante.

La vulnerabilidad, identificada como CVE-2026-99999 con una puntuación CVSS de 9.3 sobre 10, es calificada como crítica. Debian comenzó a distribuir paquetes actualizados para el núcleo de Linux el lunes por la mañana. Ubuntu y Red Hat aún no han proporcionado una solución. Se espera que exploits funcionales circulen en el mercado negro en unas pocas semanas y que podrían afectar a otros hipervisores además de KVM.

Algunos proveedores de servicios en la nube ya han tomado medidas. Netcup ha comenzado a reiniciar sus anfitriones de virtualización. Hetzner implementó una mitigación basada en eBPF que evita la necesidad de reiniciar sus hipervisores inmediatamente. Por su parte, IONOS creó una mitigación temporal que detecta y compensa el vector de ataque a nivel de sistema. Los investigadores utilizaron GPT-5.6 Sol para hallar la falla en tres días con un costo de tokens inferior a 700 dólares estadounidenses, mientras que la corrección en el código de red del núcleo de Linux no se implementó hasta el 8 de octubre.