PwnEscape: Kritische Schwachstelle im Linux-Kernel ermöglicht VMs das Lesen von Host-Speicher

Eine kritische Sicherheitslücke im Linux-Kernel, verfolgt unter CVE-2026-99999 und mit dem Spitznamen PwnEscape, ermöglicht es Code, der innerhalb einer virtuellen Maschine ausgeführt wird, Speicher vom Host-System zu lesen. Entdeckt wurde die Lücke von dem Forscher Paulos Yibelo von pwn.ai während einer Vercel-Sicherheits-Challenge im August 2026. Vercel bestätigte den Fehler, nachdem er gegen dessen Live-Cloud-Sandboxes demonstriert wurde. Das Problem liegt in der gemeinsamen Netzwerkschicht des Linux-Kernels und stellt ein Risiko für Cloud-Anbieter dar, die diese Infrastruktur zur Isolation ihrer Workloads nutzen.

Was passiert ist

Paulos Yibelo demonstrierte, dass speziell präparierte Netzwerkpakete, die aus einer Gast-Virtual-Machine gesendet werden, drei unterschiedliche Ergebnisse auslösen können: das Lesen von Host-Speicher, einen Absturz des Hosts und die Ausführung von Code auf dem Host. In Tests gegen Vercels Produktions-Sandboxes leckte jedes Paket etwa 32 Bytes Host-Speicher, ein Prozess, der durch das Senden weiterer Pakete unbegrenzt wiederholt werden konnte. Während der Speicherleck in der Produktion verifiziert wurde, wurden die Fähigkeiten zum Absturz und zur Codeausführung nur in Laborumgebungen beobachtet, die so konfiguriert waren, dass sie Vercels Setup nachahmten. Zwei spezifische Pakete reichten aus, um einen Host zum Absturz zu bringen und alle darauf laufenden Sandboxes zu stören. Durch weitere Ausnutzung konnte der Forscher in diesen kontrollierten Tests Administratorrechte erlangen.

Die Schwachstelle wurde mit Omega-Pwn identifiziert, einem internen Forschungs-Framework, das Sicherheitstools mit Elementen der SingularityNET-OmegaClaw-Architektur kombinierte. GPT-5.6 Sol diente als primäre Reasoning-Engine, analysierte Quellcode und verfolgte Hypothesen unter menschlicher Anleitung. Yibelo betonte, dass zwar die Erlangung von Administratorrechten im Labor erreicht wurde, dies jedoch keine Behauptung der Root-Befehlsausführung in der Produktionsumgebung eines Anbieters sei. Vercel berichtete, dass kein Teilnehmer der Challenge auf Kundendateien, Secrets oder Anwendungsdaten zugegriffen habe, und es gebe keine Hinweise auf eine reale Ausnutzung.

Wie es funktioniert

Der Fehler liegt im Netzwerkcode des Linux-Kernels, insbesondere in der Art und Weise, wie er Paket-Checksummen verarbeitet. Es handelt sich nicht um eine Fehlkonfiguration im Setup eines einzelnen Cloud-Anbieters, sondern um einen Defekt in der gemeinsamen Kernel-Schicht, die von den meisten großen Cloud-Diensten zur Isolierung von Kunden-Workloads verwendet wird. Der Exploit umfasst das Senden von Netzwerkpaketen, bei denen die Checksum-Daten auf den IPv4-Header zeigen, bevor der Kernel sie verarbeitet. Dies ermöglicht es der Gast-VM, Isolationsgrenzen zu umgehen und auf den Host-Speicher zuzugreifen.

Der Fix, implementiert im Commit 6785011f8b16 von Michael S. Tsirkin (Red Hat), fügt an fünf Stellen im Netzwerkcode eine Prüfung hinzu, um sicherzustellen, dass Checksum-Daten nicht auf den IPv4-Header zeigen können. Der Autor beschreibt dies als eine „Defense-in-Depth-Maßnahme“ und merkt an, dass eine umfassendere Prüfung beim Paket-Eingang noch aussteht. Dieser Patch wurde in mehrere stabile Kernel-Zweige zurückportiert, um das unmittelbare Risiko zu adressieren, während längerfristige Verbesserungen entwickelt werden.

Wichtige Details

• Schwachstellen-ID: CVE-2026-99999, Spitzname PwnEscape.
• Schweregrad: Von Kernel-Maintainern mit 9,3 von 10 (Kritisch) eingestuft.
• Angriffsvektor: Lokal; erfordert Codeausführung innerhalb einer Gast-VM.
• Auswirkung: Speicherleck (32 Bytes pro Paket), Host-Absturz und potenzielle Codeausführung.
• Entdeckung: Gefunden von pwn.ai in drei Tagen unter Verwendung KI-gestützter Forschung während einer Vercel-Bug-Bounty-Challenge.
• Status: Keine aktive Ausnutzung gemeldet; Fix in Mainline- und Stable-Kernel integriert.

Warum es wichtig ist

Für Software-Ingenieure und technische Leads hebt diese Schwachstelle die Fragilität der Isolation in Multi-Tenant-Cloud-Umgebungen hervor. Da der Fehler im Linux-Kernel selbst liegt, betrifft er jeden Dienst, der Firecracker-microVMs oder ähnliche Virtualisierungstechnologien auf Bare-Metal-Hosts nutzt. Selbst wenn Ihr Anwendungscode sicher ist, kann die zugrunde liegende Infrastruktur verwundbar sein. Dies unterstreicht die Notwendigkeit von Defense-in-Depth-Strategien, da das alleinige Verlassen auf Virtualisierungsgrenzen unzureichend ist, wenn der Host-Kernel kompromittiert wird.

Die Entdeckungsmethode signalisiert zudem einen Wandel in der Sicherheitsforschung. Der Einsatz großer Sprachmodelle wie GPT-5.6 Sol zur Analyse von Kernel-Code und zur Verkettung von Schwachstellen reduzierte die Kosten für die Findung dieses kritischen Fehlers auf weniger als 700 US-Dollar in API-Tokens. Dies deutet darauf hin, dass KI-gestütztes Fuzzing und Analysen Standardwerkzeuge sowohl für Angreifer als auch für Verteidiger werden und das Tempo beschleunigen, in dem tiefgreifende System-Schwachstellen entdeckt werden. Teams müssen nun KI-gesteuertes Threat Modeling als Teil ihrer Sicherheitsstrategie berücksichtigen.

Was Sie tun können

• Aktualisieren Sie Ihren Host-Kernel sofort auf eine behobene Version; das bloße Aktualisieren der Gast-Kernels löst das Problem nicht.
• Überprüfen Sie die Advisory Ihrer Distribution, um sicherzustellen, dass der Fix (Commit 6785011f8b16) enthalten ist, da Versionsnummern variieren können.
• Starten Sie Systeme nach der Anwendung des Kernel-Updates neu, um sicherzustellen, dass der neue Kernel aktiv ist.
• Wenn ein sofortiges Patchen nicht möglich ist, begrenzen Sie die Auswirkungen, indem Sie verschachtelte Virtualisierung deaktivieren und Berechtigungen für microVM-Prozesse einschränken.
• Beobachten Sie Updates Ihres Cloud-Anbieters bezüglich Host-Kernel-Patches und Wartungsfenster.
• Überprüfen Sie Ihre eigenen Security-Testing-Pipelines, um KI-gestützte Analysetools für eine tiefere Codeinspektion einzubinden.