PwnEscape: Kritische Linux-Kernel-Lücke gefährdet VMs und Cloud-Sandboxes

Bestätigt: Code aus einer VM liest den Speicher des Hosts

Die Lücke CVE-2026-99999, intern "PwnEscape", liegt im Netzwerkcode des Linux-Kernels und erlaubt es, aus einer virtuellen Maschine heraus den Speicher des Wirtsrechners auszulesen. Die Sicherheitsfirma pwn.ai fand sie in einem von Vercel ausgeschriebenen Wettbewerb; Vercel hat sie in einem eigenen Bericht bestätigt und den Leak gegen die eigenen produktiven Sandbox-Umgebungen demonstriert. Das Kernel-CVE-Team von kernel.org bewertet die Lücke mit 9,3 von 10 als "kritisch". Das US National Vulnerability Database hatte den Eintrag erhalten, die eigene Bewertung aber noch nicht abgeschlossen. Ein Hinweis auf tatsächliche Ausnutzung fehlt, auch steht die Lücke nicht im Katalog der aktiv ausgenutzten Schwachstellen der US-Behörde CISA.

Was der Angreifer damit erreicht

Laut technischer Analyse von Paulos Yibelo (pwn.ai) lösen speziell präparierte Netzwerkpakete aus der Gast-Maschine drei Dinge aus: Lesen des Host-Speichers, Absturz des Hosts und Codeausführung auf ihm. Nach Vercels Angaben konnte jedes geeignete Paket rund 32 Byte aus dem Host-Speicher zurücktragen, und die VM konnte so lange weiterlesen, wie sie Pakete sandte. Absturz und Codeausführung wurden ausschließlich auf den eigenen, nachgebauten Testsystemen des Forschers beobachtet – zwei Pakete reichten dort, um einen Host samt aller darauf laufenden Sandboxes lahmzulegen. Yibelo betonte sinngemäß übersetzt, dies sei "keine Behauptung einer Root-Ausführung in der Produktionsumgebung eines Anbieters". Vercel erklärte, kein Bericht aus dem Wettbewerb habe das Lesen von Kundendateien, Secrets oder Anwendungsdaten gezeigt.

Entscheidend für die Einordnung: Der Angriffsvektor ist "lokal". Angreifer müssen bereits Code in einer virtuellen Maschine ausführen können – von außen über das offene Internet ist die Lücke nicht ausnutzbar.

Warum eigene VMs und Cloud-Sandboxes betroffen sind

Der Fehler steckt nicht in einer Vercel-Sonderentwicklung, sondern in der Schicht, die große Cloudanbieter zum Trennen von Kunden-Workloads nutzen. Vercel Sandbox betreibt den Code jedes Kunden in einer eigenen Firecracker-microVM mit eigener Kernel-Kopie auf Bare-Metal-EC2-Hosts von Amazon. Nach Angabe von pwn.ai war diese Sandbox bereits härter abgesichert als branchenüblich, ohne auffindbare Fehlkonfiguration. Die Lücke bedroht damit geteilte Infrastruktur statt eines einzelnen Anbieters – und trifft entsprechend auch eigene Virtualisierungshosts.

Der Fix – und was Administratoren tun müssen

Die Korrektur ist eine einzelne Kernel-Änderung: Commit 6785011f8b16 von Michael S. Tsirkin (Red Hat), inzwischen im Mainline. Sie prüft an fünf Stellen im Netzwerkcode, dass Prüfsummen-Daten nicht in den IPv4-Header zeigen, bevor der Kernel sie verarbeitet. Der Autor nennt die Änderung sinngemäß übersetzt "eine Verteidigung in der Tiefe" – eine vollständige Prüfung bereits beim Eintritt der Pakete in den Kernel steht noch aus.

Zurückportiert wurde sie in die Stable-Zweige. Erste behobene Versionen laut CVE-Eintrag: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 und 7.2.11.

Distributionen bauen eigene Kernel und übernehmen solche Korrekturen häufig ohne Versionsänderung. Deshalb sollte die Distribution konsultiert und geprüft werden, ob der Fix im Kernel steckt, der auf dem Host tatsächlich läuft – die Ausgabe von "uname" genügt laut Quellen nicht.

Maßnahme: Host-Kernel aktualisieren und in den neuen Kernel neu booten. Ein Update nur im Gast behebt den Host nicht. Einen gesonderten Workaround nennen die Quellen nicht. Vercel hält nach eigener Auskunft Host-Kernel aktuell, deaktiviert verschachtelte Virtualisierung und führt jede microVM unter dem Firecracker-Jailer, der dem Prozess nur die nötigen Rechte gibt. Das behebt die Lücke nicht, begrenzt aber den möglichen Schaden.

Zweite, verwandte Lücke aus demselben Umfeld

Eigene VMs betrifft auch CVE-2026-74580 ("Vghost") im vhost-Subsystem. Die Tencent Zhuque Lab veröffentlichte den Fix am 3. August, eine vollständige Analyse mit funktionierenden Demos am 12. Oktober. Auf dem Host erlaubt die Lücke einem lokalen Benutzer, beliebige Kernel-Adressen zu lesen und zu schreiben, KASLR zu umgehen und Root zu werden – betroffen sind Kernel von 4.11 bis 7.2-rc4. In einer bestimmten Virtualisierungskonfiguration kann eine nicht vertrauenswürdige VM zudem über den QEMU-Prozess in den Host schreiben. Die Bewertungen gehen auseinander: kernel.org 8,8, Red Hat 7,3, Amazon 7,8, Oracle 7,3. Bis zum Patch sollten die Device-Knoten /dev/vhost-net und /dev/vhost-vsock restriktiv behandelt werden; für den Gast-zu-Host-Weg ist der gepatchte Kernel die einzige Abhilfe.

In drei Tagen per KI-System gefunden

Vercel hatte den Wettbewerb zwei Wochen im August ausgeschrieben, mit bis zu einer Million US-Dollar als Gesamtsumme. Bezahlt wurden 242.000 US-Dollar für 1.285 Meldungen, die höchste Einzelprämie lag bei 50.000 US-Dollar; PwnEscape war der einzige als "Critical" eingestufte Fund. pwn.ai fand die Lücke nach eigener Angabe in drei Tagen mit einem KI-gestützten Forschungssystem: Die Analyse des Quellcodes übernahm das Modell, die研究方向...