Вада PwnEscape в ядрі Linux дозволяє гостьовим VM читати пам'ять хоста та запускати код

Що показав дослідник

Критична вразливість у мережевому коді ядра Linux дозволяє спеціально підготовленим мережевим пакетам, надісланим зсередини віртуальної машини, зчитувати пам'ять хост-комп'ютера, на якому вона працює. Вада, зареєстрована як CVE-2026-99999 і відома під назвою PwnEscape, була виявлена Пауло Іїбелом з компанії з безпеки pwn.ai. Кожен вихідний пакет, який надсилав гість, міг повернути наблизно 32 байти пам'яті хоста. Та сама вада також спричиняла падіння хоста та запуск коду на хості, хоча ці два сценарії були підтверджені лише на власних машинах дослідника, які відповідали конфігурації Vercel.

Vercel підтвердив, що витік пам'яті був продемонстрований на його виробничих sandbox. Компанія заявила, що під час челенджу жоден акаунт не показав зчитування файлів користувача, секретів або даних застосунку. Іїбел заявив, що це лабораторний результат, а не підтвердження виконання команд з правами root у виробничому середовищі будь-якого провайдера.

Як знайшли ваду

Виявлення сталося за допомогою Omega-Pwn. Це внутрішня дослідницька система, яка поєднує власні інструменти безпеки pwn.ai з елементами архітектури OmegaClaw від SingularityNET. Основним рушієм міркувань був GPT-5.6 Sol. Іїбел сказав, що система давала команді можливість протягом тривалих сесій зберігати гіпотези, сліди коду та експериментальні результати, тоді як люди-дослідники керували розслідуванням і перевіряли знахідки у порівнянні з реальною поведінкою ядра. Компанія знайшла ваду за три дні, витративши менше 700 доларів на токени API.

Vercel виявив проблему під час тижневого челенджу зі втечі з sandbox у серпні, загальний призовий фонд якого сягав 1 мільйона доларів. Компанія виплатила 242 000 доларів на 1 285 акаунтів. Це було єдине критичне виявлення. Найвища винагорода на один акаунт становила 50 000 доларів.

Виправлення та уражені версії

Розробники ядра Linux оцінили ваду на 9,3 з 10 балів, що є критичним рівнем. Вектор атаки визначено як локальний, тож зловмисник уже повинен мати запущений код всередині гостя. Виправлення — одна зміна в ядрі, коміт 6785011f8b16, написаний Майклом С. Ціркіном з Red Hat і злитий у mainline ядро. Він додає перевірку, щоб дані checksum пакета не вказували на заголовок IPv4, перш ніж ядро їх опрацює, і розміщує цю перевірку у п'яти місцях мережевого коду.

Виправлення також потрапило у stable-гілки; серед перших виправлених версій — 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 та 7.2.11. Дистрибутиви Linux часто розповсюджують власні ядра і можуть внести це виправлення без зміни номера версії, тому адміністраторам слід перевірити попередження свого дистрибутива та переконатися, що виправлення є в ядрі, яке хост реально запускає. Оновлення лише гостьового ядра хост не захищає.

Vercel заявив, що підтримує хостові ядра у стані оновлення, відключає вбудовану віртуалізацію та запускає кожен microVM під jailer Firecracker, що надає процесу microVM лише необхідні дозволи. Це не виправляє ваду, але ускладнює те, що зловмисник міг би зробити за її допомогою.

Джерела: The Hacker News