Kritisk sårbarhet i Linux-kärnan möjliggör utbrott från virtuella maskiner

red and white stop road sign — Edwin Hooper / Unsplash

En säkerhetsbrist vid namn PwnEscape påverkar Linux-servrar som använder KVM som värdsystem för virtuella maskiner. Sårbarheten gör det möjligt för virtuella maskiner att bryta sig ut ur sin isolering, vilket innebär att en illasinnad kund hos en molnleverantör kan kompromettera virtualiseringsvärden och manipulera andra kunders virtuella maskiner.

Sårbarheten finns i Linux-kärnans nätverkskod. En virtuell maskin kan via virtio-metadata ange var kärnan senare ska infoga transportkontrollsumman vid leverans av paket. Kärnan validerade denna position felaktigt, vilket ledde till att kontrollsumman hamnade på fel plats i minnet. Forskare från pwn.ai kunde i en laboratoriemiljö använda ett utnyttjande för att bryta sig ut ur den isolerade miljön flera gånger, samt orsaka krascher för både virtualiseraren och alla virtuella maskiner på den.

Forskarna beskriver detta som en ny klass av säkerhetshål som de kallar för omvändning av förtroende vid fördröjda metadata. Det rör sig i grunden om ett fel av typen tid för kontroll, tid för användning, men utan den typiska kapplöpningssituationen. Det krävs endast en fördröjd skrivoperation i minnet som kontrolleras av angriparen.

Sårbarheten har beteckningen CVE-2026-99999 med ett kritiskt CVSS-värde på 9.3 av 10. Debian levererar uppdaterade paket för Linux-kärnan på måndag förmiddag, medan Ubuntu och Red Hat ännu inte har släppt åtgärder. De som administrerar KVM-hypervisorer uppmanas att installera den nya kärnan och starta om systemet så snart som möjligt. Det förväntas att fungerande utnyttjande kommer att cirkulera i underjorden inom några veckor och eventuellt även påverka andra hypervisorer än KVM.

Flera molnleverantörer har redan reagerat. Netcup har startat om sina virtualiseringsvärdar. Hetzner använder en åtgärd baserad på eBPF och behöver därför inte starta om sina hypervisorer omedelbart. En talesperson från IONOS meddelade att en tillfällig begränsning skapats som identifierar och kompenserar för angreppsvektorn på systemnivå. För kunder hos dessa leverantörer krävs inga åtgärder, utöver att kontrollera att deras virtuella servrar tål omstarter.

Säkerhetsforskarna använde GPT-5.6 Sol för att hitta sårbarheten, vilket tog tre dagar och kostade under 700 amerikanska dollar i tokenkostnader. Själva åtgärden i Linux-kärnans nätverkskod implementerades först den 8 oktober.