Ошибка находится в сетевой части операционной системы Linux и, по словам ее обнаружителей, является частью нового класса уязвимостей. Проблемы затрагивают также поставщиков облачных услуг.
Уязвимость под названием "PwnEscape" затрагивает серверы Linux, используемые в качестве хост-систем для виртуальных машин с помощью технологии KVM (Kernel Virtual Machine), и позволяет этим виртуальным машинам выходить за пределы своей изолированной среды. Например, злоумышленник, являющийся клиентом облачного провайдера, может использовать "PwnEscape" для компрометации хост-системы виртуализации и манипулирования виртуальными машинами других клиентов. Некоторые облачные провайдеры начали обновлять свои системы в выходные дни, и ожидается, что другие последуют их примеру. Администраторам гипервизоров KVM также следует установить обновления.
Уязвимость обнаружена в глубоких слоях сетевого кода ядра Linux. Виртуальная машина может, при передаче пакетов через метаданные virtio, определить место, куда ядро впоследствии добавит контрольную сумму для передачи данных. Ядро, в свою очередь, некорректно проверяло это место, что приводило к тому, что недостающая контрольная сумма записывалась не туда, а в неправильный участок памяти. В лабораторных условиях исследователи из pwn.ai смогли неоднократно выходить из изолированной среды, в которой находится каждая виртуальная машина, используя эксплойт. Кроме того, они многократно вызывали сбой как самих программ-виртуализаторов, так и всех виртуальных машин.
Исследователи подчеркивают, что, по их мнению, это новый класс уязвимостей, который они называют "обращением доверия при использовании отложенных метаданных" ("deferred-metadata trust inversion"). В своей основе эти уязвимости представляют собой ошибку типа TOCTOU (Time of Check, Time of Use), но в отличие от типичных для этого класса уязвимостей ситуаций, связанных с гонкой данных (race condition), они не требуют ее наличия. Для эксплуатации такой уязвимости достаточно одной операции записи в память, контролируемой злоумышленником, и выполняемой с задержкой.
Скоро будет выпущено обновление, ожидаются атаки.
PwnEscape – это последняя уязвимость за 2026 год, получившая пятизначный идентификатор CVE, а именно "круглую" цифру CVE-2026-99999 (CVSS 9.3/10, критическая). Обновленные пакеты для ядра Linux будут выпущены компанией Debian (bookworm: 6.1.190-1, trixie: 6.12.113-1) в понедельник утром. В Ubuntu и Red Hat исправление этой ошибки пока находится в стадии разработки. Пользователям, управляющим виртуальными хостами на базе KVM, рекомендуется как можно скорее установить новую версию ядра после ее выхода и перезагрузить систему. Разработчики, обнаружившие эту уязвимость, ожидают, что в течение нескольких недель в сети появятся рабочие эксплойты, которые могут затрагивать не только гипервизор KVM, но и другие аналогичные системы.
KVM является популярной альтернативой коммерческим гипервизорам, таким как VMware, и также используется хостинг-провайдерами для виртуальных серверов. Некоторые из них уже отреагировали: например, компания Netcup с начала выходных перезапускает свои серверы виртуализации из-за уязвимости PwnEscape, о чем сообщил генеральный директор Александр Виндбихлер на форуме компании. Другие, вероятно, последуют их примеру; мы обратились за комментариями к таким крупным провайдерам, как Hetzner и IONOS. Для клиентов нет необходимости предпринимать какие-либо действия, им следует лишь проверить, перезагружаются ли их виртуальные серверы корректно.
Три дня до эксплуатации [уязвимости].
Последовательность событий, связанных с проектом PwnEscape, ярко иллюстрирует современное положение дел в области информационной безопасности: специалисты по безопасности использовали модель GPT-5.6 Sol для поиска уязвимостей, и всего за три дня, потратив менее 700 долларов США на вычислительные ресурсы, им удалось обнаружить проблему. Однако устранение этой уязвимости заняло значительно больше времени: только 8 октября исправление было внесено в сетевой код ядра Linux.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале