PwnEscape: VMからホストメモリを閲覧可能にするLinuxカーネルの重大な脆弱性

Linuxカーネルにおける重大なセキュリティ脆弱性（CVE-2026-99999として追跡され、PwnEscapeという愛称で呼ばれる）により、仮想マシン内で実行されるコードがホストシステムのメモリを読み取れるようになります。この欠陥は、2026年8月のVercelセキュリティチャレンジ中にpwn.aiの研究者Paulos Yibelo氏によって発見され、Vercelのライブクラウドサンドボックスに対する実証実験を経て確認されました。問題は共有されているLinuxカーネルのネットワーク層に存在しており、ワークロードの分離のためにこのインフラに依存しているクラウドプロバイダーにとってリスクとなります。

何が起きたか

Paulos Yibelo氏は、ゲスト仮想マシン内から送信された specially crafted なネットワークパケットが、3つの異なる結果を引き起こす可能性があることを実証しました。それは、ホストメモリの読み取り、ホストのクラッシュ、そしてホスト上でのコード実行です。Vercelの本番環境サンドボックスに対するテストでは、各パケットが約32バイトのホストメモリを漏洩させ、追加のパケットを送信することでこのプロセスを無限に繰り返すことができました。メモリ漏洩は本番環境で検証されましたが、クラッシュおよびコード実行機能は、Vercelの設定を模倣するために構成されたラボ環境でのみ観測されました。特定の2つのパケットだけでホストをクラッシュさせ、その上で稼働していたすべてのサンドボックスを混乱させることが可能であり、さらなるエクスプロイトにより、これらの管理されたテストにおいて研究者は管理者権限を獲得しました。

この脆弱性は、セキュリティツールとSingularityNETのOmegaClawアーキテクチャの要素を組み合わせた内部研究ハーネスであるOmega-Pwnを使用して特定されました。GPT-5.6 Solが主要な推論エンジンとして機能し、人間の指示の下でソースコードを分析し、仮説を追跡しました。Yibelo氏は、ラボ環境では管理者権限の獲得に成功したものの、これはベンダーの本番環境でのrootコマンド実行を保証するものではないことを強調しました。Vercelは、チャレンジ参加者による顧客ファイル、シークレット、またはアプリケーションデータへのアクセスはなく、現実世界での悪用の証拠もないと報告しています。

仕組み

この欠陥はLinuxカーネルのネットワークコード、特にパケットチェックサムの処理方法に存在します。これは単一のクラウドプロバイダーの設定ミスではなく、大多数の主要なクラウドが顧客ワークロードを分離するために使用している共有カーネル層の欠陥です。エクスプロイトには、カーネルが処理する前にチェックサムデータがIPv4ヘッダーを指すようにネットワークパケットを送信することが含まれます。これにより、ゲストVMは分離境界を回避し、ホストメモリにアクセスできるようになります。

Red HatのMichael S. Tsirkin氏によるコミット6785011f8b16で実装された修正は、ネットワークコード内の5箇所にチェックを追加し、チェックサムデータがIPv4ヘッダーを指せないようにします。作者はこれを「多層防御措置」と説明し、パケット入力時により包括的なチェックを行うことは依然として保留中であると述べています。このパッチは複数の安定版カーネルブランチにバックポートされており、長期的な改善が開発される間、 immediate なリスクに対処しています。

主要な詳細

• 脆弱性ID: CVE-2026-99999、愛称 PwnEscape。
• 深刻度: カーネルメンテナーにより10段階評価で9.3（Critical）と評定。
• 攻撃ベクトル: ローカル; ゲストVM内でのコード実行が必要。
• 影響: メモリ漏洩（パケットあたり32バイト）、ホストのクラッシュ、および潜在的なコード実行。
• 発見: Vercelのバグバウンティチャレンジ中にAI支援研究を用いてpwn.aiにより3日間で発見。
• ステータス: 活発な悪用は報告されていません; 修正はメインラインおよび安定版カーネルにマージ済み。

なぜ重要なのか

ソフトウェアエンジニアや技術リードにとって、この脆弱性はマルチテナントクラウド環境における分離の脆さを浮き彫りにします。欠陥がLinuxカーネル自体にあるため、ベアメタルホスト上のFirecracker microVMsや同様の仮想化技術を使用するあらゆるサービスに影響を与えます。アプリケーションコードが安全であっても、基盤となるインフラストラクチャが脆弱である可能性があります。これは多層防御戦略の必要性を強化するものであり、ホストカーネルが侵害された場合、仮想化境界だけに頼ることは不十分です。

発見手法もまた、セキュリティ研究における変化を示唆しています。GPT-5.6 Solのような大規模言語モデルを使用してカーネルコードを分析し、脆弱性をチェーン化することで、この重大な欠陥を発見するコストはAPIトークンで700ドル未満に削減されました。これは、AI支援によるファジングと分析が攻撃者と防御者の双方にとって標準的なツールとなり、深いシステム脆弱性の発見ペースを加速させることを示唆しています。チームは今後、セキュリティ体制の一部としてAI駆動型の脅威モデリングを検討する必要があります。

対応策

• ホストカーネルを修正済みのバージョンに即座に更新してください。ゲストカーネルだけの更新では問題を解決できません。
• ディストリビューションのアドバイザリーを確認し、修正（コミット6785011f8b16）が含まれていることを保証してください。バージョン番号は異なる場合があります。
• カーネル更新適用後にシステムを再起動し、新しいカーネルがアクティブであることを確認してください。
• 即時のパッチ適用が不可能な場合は、ネストされた仮想化を無効にし、microVMプロセスの権限を制限することで影響を軽減してください。
• クラウドプロバイダーからのホストカーネルパッチおよびメンテナンスウィンドウに関するアップデートを監視してください。
• より深いコード検査のためにAI支援分析ツールを組み込むよう、自社セキュリティテストパイプラインを見直してください。