PwnEscape, CVE-2026-99999: fuga da guest a host in Linux KVM con CVSS 9.3

• Falla critica in Linux KVM, CVE-2026-99999, nome PwnEscape, CVSS 9.3
• Pacchetti IPv4 malformati permettono la fuga da guest a host
• AWS dice che EC2 non è a rischio; fix upstream in arrivo su Debian, RHEL, Ubuntu
• Aggiornare il kernel e seguire gli avvisi di Nutanix e Proxmox

Il ricercatore Paulos Yibelo, che a inizio ottobre aveva segnalato una falla di tipo guest-host escape in Linux KVM, ha dato un nome alla vulnerabilità: PwnEscape. Il difetto è ora tracciato come CVE-2026-99999 e ha un punteggio CVSS di 9.3, quindi critico. KVM è l’hypervisor usato dalla maggior parte dei cloud hyperscale.

Come funziona

Secondo la fonte, la fuga dalla macchina virtuale è possibile inviando da un guest alcuni pacchetti IPv4 malformati. Il problema riguarda i metadati di checksum. Linux permette ai pacchetti di indicare da dove iniziare il calcolo del checksum e dove scriverne il risultato. È un’ottimizzazione legittima, usata nel checksum offloading.

Il rischio nasce quando metadati controllati dal guest, quindi poco affidabili, influenzano una scrittura dopo che l’intestazione del pacchetto ha già superato i controlli. Michael S. Tsirkin di Red Hat ha spiegato nel kernel stable tree che un pacchetto con metadati di checksum errati, entrato nello stack IPv4, può far sì che skb_checksum_help corrompa l’intestazione di rete.

La società SOC Prime osserva che la divulgazione di informazioni può essere ripetuta. Un attaccante che controlla un workload guest potrebbe quindi raccogliere dati da un dominio di sicurezza che la VM non dovrebbe poter vedere. Red Hat indica come possibili effetti l’esecuzione di codice arbitrario sull’host, un crash di sistema con denial of service o la divulgazione di memoria sensibile.

Perché preoccupa

La virtualizzazione si basa sull’isolamento tra macchine virtuali che condividono lo stesso hardware. Se l’isolamento cade, un attaccante potrebbe raggiungere tutte le VM di un host o di un pool di hardware virtualizzato. Potrebbero essere coinvolti anche migliaia di VM e i container eseguiti in micro-VM.

Yibelo ritiene che PwnEscape rappresenti una nuova classe di attacchi alla rete di Linux. Metadati di checksum non attendibili possono riscrivere campi sensibili del pacchetto dopo che il kernel li ha validati. In questo modo si minano le assunzioni su cui poggia lo stack di rete, ben oltre la fuga dalla VM. A suo avviso, il problema è che parti diverse di Linux potevano fidarsi di versioni diverse dello stesso pacchetto.

Edera, fornitore di un runtime sicuro per container basato su Xen, ha ricordato che Linux conta oltre 40 milioni di righe di codice. Secondo l’azienda, quest’anno i ricercatori hanno trovato sette bug di escape, tra cui Januscape.

Impatto e correzioni

• AWS, che basa il proprio cloud su KVM, afferma che EC2 non è a rischio.
• Google Cloud, per il modo in cui usa KVM, dovrebbe essere probabilmente al riparo.
• Gli sviluppatori hanno realizzato una correzione upstream nel kernel Linux. Sta arrivando nelle principali distribuzioni, come Debian, RHEL e Ubuntu, e dovrebbe arrivare ai prodotti di virtualizzazione basati su KVM, come Nutanix e Proxmox.

Cosa fare

Gli amministratori di host KVM dovrebbero seguire gli avvisi dei vendor delle proprie distribuzioni e dei prodotti di virtualizzazione. Dovrebbero installare gli aggiornamenti del kernel con la correzione non appena disponibili.

Fonte: theregister · Foto: theregister