PwnEscape-Schwachstelle im Linux kernel ermöglicht VMs das Auslesen von host memory
Die PwnEscape-Schwachstelle im Linux kernel ermöglicht es Code, der bereits innerhalb einer virtual machine (VM), also eines isolierten softwarebasierten Computers, läuft, host memory auszulesen. Die unter CVE-2026-99999 erfasste Schwachstelle wurde von der Sicherheitsfirma pwn.ai während einer Sicherheits-Challenge von Vercel entdeckt. Vercel bestätigte, dass der Forscher die Offenlegung von Speicherinhalten in den aktiven cloud sandboxes des Unternehmens demonstrierte. Das Problem wurde vor der Veröffentlichung vertraulich gemeldet, und es liegen keine Berichte über eine Ausnutzung unter realen Bedingungen vor.
PwnEscape befindet sich im networking code des Linux kernel und nicht in einer Konfiguration, die nur bei einer bestimmten Cloud-Plattform verwendet wird. Der Linux kernel ist der zentrale Teil eines Betriebssystems, der Hardware, Speicher und laufende Programme verwaltet. Laut dem technischen Bericht von pwn.ai konnten speziell präparierte Netzwerkpakete, die von einer guest VM gesendet wurden, host memory offenlegen, den host zum Absturz bringen oder die Ausführung von Code auf ihm ermöglichen. Alle diese Folgen gingen auf denselben zugrunde liegenden Fehler im Linux kernel zurück.
Bei der Demonstration in der Produktionsumgebung konnten laut Vercel mit jedem Paket etwa 32 Byte host memory an die guest VM zurückgegeben werden. Der Vorgang konnte fortgesetzt werden, solange die guest VM weitere Pakete sendete. Vercel erklärte außerdem, dass keiner der Challenge-Berichte einen Zugriff auf Kundendateien, Secrets oder Anwendungsdaten zeigte. Diese Unterscheidung ist wichtig, weil der Test zwar die Möglichkeit belegte, eine bedeutende Isolationsgrenze zu überschreiten, jedoch nicht nachwies, dass Kundeninformationen entwendet worden waren.
Die schwerwiegenderen Folgen wurden nur auf Systemen demonstriert, die vom Forscher kontrolliert und entsprechend der Umgebung von Vercel konfiguriert wurden. Bei diesen Tests konnten zwei präparierte Pakete einen host zum Absturz bringen und jede darauf laufende sandbox stoppen. Der Forscher nutzte die Schwachstelle außerdem für einen VM escape und erlangte Administratorzugriff auf den host. pwn.ai beschränkte diese Aussage ausdrücklich auf die Laborarbeiten und behauptete nicht, in der Produktionsumgebung eines Anbieters Administratorbefehle ausgeführt zu haben.
Der veröffentlichte CVE-Eintrag weist CVE-2026-99999 einen Schweregrad von 9,3 von 10 zu und stuft die Schwachstelle als Critical ein. Die U.S. National Vulnerability Database hatte den Eintrag erhalten, ihre eigene Prüfung jedoch noch nicht abgeschlossen. Der angegebene attack vector ist local. Das bedeutet, dass ein Angreifer zunächst Code innerhalb einer guest VM ausführen können muss. Die Schwachstelle wird nicht als Problem beschrieben, das ein nicht authentifizierter Außenstehender allein durch das Senden von Datenverkehr über das öffentliche Internet auslösen kann. Die Schwachstelle war nicht im Katalog aktiv ausgenutzter Schwachstellen der Cybersecurity and Infrastructure Security Agency aufgeführt, und es gab keine Berichte über Angriffe, bei denen sie eingesetzt wurde.
Vercel Sandbox platziert Kundencode in getrennten Firecracker microVMs – jede davon eine kleine virtual machine – auf Amazon-EC2-Infrastruktur vom Typ bare-metal. Jede microVM verfügt über einen eigenen Linux kernel und bildet eine Grenze zwischen dem Kunden-Workload, dem host und anderen Kunden. PwnEscape betrifft networking code, den der Linux kernel des host verwendet, sodass die Schwachstelle unterhalb dieser Grenze der guest VM liegt. pwn.ai berichtete, keine relevante Fehlkonfiguration gefunden zu haben, und beschrieb die sandbox als bereits stärker gehärtet, als es den üblichen Branchenstandards entspricht. Vercel erklärte, dass diese Art von Schwachstelle im Linux kernel gemeinsam genutzte Infrastruktur beeinträchtigen kann, weil große Cloud-Umgebungen bei der Trennung von Workloads häufig auf die Ebene des Linux kernel angewiesen sind.
Der Fix im mainline Linux kernel ist commit 6785011f8b16. Die Änderung prüft, dass checksum-Informationen eines Pakets nicht in den IPv4 header zeigen, bevor der Linux kernel sie verarbeitet. Diese Validierung wird an fünf Stellen im networking code vorgenommen. Der Autor der Änderung bei Red Hat bezeichnete sie als defence-in-depth-Maßnahme und nicht als vollständige Lösung. Für den Pfad, über den Pakete in den Linux kernel gelangen, war weiterhin eine umfassendere Prüfung erforderlich.
Die Linux-Maintainer übernahmen die Änderung auch in unterstützte stable branches. Der CVE-Eintrag nennt als erste korrigierte Releases 5.10.272 für branch 5.10, 5.15.223 für 5.15, 6.1.190 für 6.1, 6.6.159 für 6.6, 6.12.113 für 6.12, 6.18.57 für 6.18 und 7.2.11 für 7.2. Linux-Distributionen können Sicherheitskorrekturen in ihre eigenen Kernelpakete aufnehmen, ohne genau diese Versionsnummern zu übernehmen. Administratoren sollten deshalb den Sicherheitshinweis ihrer Distribution prüfen und sicherstellen, dass der aktuell ausgeführte Linux kernel des host den Fix enthält, statt sich nur auf die vom Befehl uname angezeigte Version zu verlassen.
Zur Behebung muss der Linux kernel des host auf ein korrigiertes stable release oder auf ein Distributionspaket mit der Korrektur aktualisiert und das System anschließend mit diesem Linux kernel neu gestartet werden. Eine Aktualisierung nur der guest VM behebt die Schwachstelle des host nicht. Für Systeme, die noch nicht aktualisiert werden können, wurde kein separater workaround genannt. Falls das deployment warten muss, können eingeschränkte Berechtigungen auf dem host und eine Begrenzung der Reichweite einzelner Workloads die möglichen Folgen verringern, ohne den zugrunde liegenden Fehler zu beheben. Vercel erklärte, die Linux kernel seiner host-Systeme aktuell zu halten, nested virtualization zu deaktivieren und den Firecracker jailer zu verwenden, um die Berechtigungen jedes microVM-Prozesses einzuschränken.
Die Schwachstelle wurde während einer zweiwöchigen Challenge im August entdeckt, bei der für alle Funde zusammen bis zu 1 Million US-Dollar zur Verfügung standen. Keine einzelne Prämie erreichte diesen Betrag. Die höchste Belohnung für einen einzelnen Bericht betrug 50.000 US-Dollar, und Vercel zahlte für 1.285 Berichte insgesamt 242.000 US-Dollar aus. PwnEscape war der einzige als Critical eingestufte Fund der Challenge. pwn.ai erklärte, die Schwachstelle innerhalb von drei Tagen identifiziert und weniger als 700 US-Dollar für API-Tokens seines KI-gestützten Forschungssystems ausgegeben zu haben. Das System nutzte Omega-Pwn, Bestandteile der OmegaClaw-Architektur von SingularityNET und GPT-5.6 Sol für die Analyse des Source Code. Menschliche Forscher leiteten die Untersuchung und überprüften die Ergebnisse anhand des Verhaltens des Linux kernel auf Systemen, die sie kontrollierten. Die Offenlegung folgt auf einen separaten Fall zu Beginn des Jahres, bei dem ein anderes Team ein großes Sprachmodell nutzte, um interne Systeme von OpenAI zu erreichen.
Für Organisationen, die nach dieser Offenlegung ihre Infrastruktur überprüfen, bietet AEU Data europäische Cloud- und Dateninfrastruktur an. Unabhängig vom Anbieter sollten Websitebetreiber und Unternehmen sich bestätigen lassen, dass die physischen host-Systeme, auf denen ihre virtual machine ausgeführt wird, die Korrektur für den Linux kernel erhalten haben, da Änderungen ausschließlich innerhalb einer gehosteten VM nicht ausreichen.