Недавно обнаруженная критическая уязвимость в ядре Linux позволяет коду внутри виртуальной машины читать память на хост-компьютере, на котором она работает. Исследователь продемонстрировал утечку на облачных песочницах Vercel в реальном времени, и Vercel подтвердил это.
Уязвимость, теперь отслеживаемая как CVE-2026-99999 и получившая прозвище PwnEscape, находится в сетевом коде ядра Linux, а не в настройках какого-либо конкретного облака, поэтому она достигает общего слоя, который облачные провайдеры используют для разделения рабочих нагрузок клиентов.
Она была обнаружена в рамках конкурса безопасности Vercel и сообщена в частном порядке до какого-либо публичного релиза, и нет никаких признаков того, что она была использована в реальной атаке.
Паулос Йибело из компании pwn.ai обнаружил, что специально созданные сетевые пакеты, отправленные из виртуальной машины, могут выполнять три действия, как он объяснил в техническом описании: читать память хоста, вызывать сбой хоста и выполнять код на нем. Все три действия вызваны одной и той же уязвимостью ядра.
Vercel заявил в своем отчете о конкурсе, что утечка памяти была продемонстрирована на их производственных песочницах. Каждый отправленный гостевой пакет мог вернуть около 32 байт памяти хоста, и гость мог продолжать, пока отправлял пакеты.
Сбой и выполнение кода наблюдались только на машинах самого исследователя, которые были настроены в соответствии с настройками Vercel. Два специально созданных пакета было достаточно, чтобы вызвать сбой хоста и вывести из строя все работающие на нем песочницы.
Используя ту же уязвимость, исследователь получил административный контроль над хостом, выйдя из виртуальной машины. Он подчеркнул, что это лабораторный результат, «а не заявление о выполнении команд root в производственной среде какого-либо поставщика».
«Наши исследования проводились с использованием Omega-Pwn, внутренней системы, объединяющей наши собственные инструменты исследования безопасности с элементами архитектуры OmegaClaw от SingularityNET. Это позволило нам переносить гипотезы, трассировки кода, неудачные попытки и экспериментальные результаты в течение длительных исследовательских сессий. GPT-5.6 Sol был основным механизмом рассуждения. Мы направляли расследование, оспаривали его выводы и проверяли интересные из них на реальном поведении ядра в контролируемых нами системах», — сообщил Паулос Йибело The Hacker News.
Vercel заявил, что ни один отчет в рамках конкурса не показал, что кто-либо читал файлы клиентов, секреты или данные приложений.
Сопровождающие ядро присвоили уязвимости CVE-2026-99999 и в опубликованной записи оценили ее в 9,3 из 10, или «Критическая». Национальная база данных уязвимостей США получила эту запись, но еще не завершила собственный обзор.
Та же запись указывает вектор атаки как локальный. Проще говоря, злоумышленник уже должен запускать код внутри гостевой системы, как это делал исследователь. Это не уязвимость, которую внешний злоумышленник может использовать, отправляя пакеты через открытый интернет.
Она не входит в каталог активно используемых уязвимостей CISA, и о реальном использовании не сообщалось.
Vercel Sandbox запускает код каждого клиента в своей собственной микро-ВМ Firecracker, небольшой виртуальной машине с собственной копией ядра Linux, на физических хостах Amazon EC2. Эта микро-ВМ является стеной между одним клиентом и хостом, а также между одним клиентом и другим.
Уязвимость находится не в этой стене. Она находится в сетевом коде ядра Linux, который работает на хосте. pwn.ai заявила, что песочница Vercel уже была защищена сверх обычных отраслевых стандартов, и они не нашли никаких неправильных конфигураций.
Поскольку почти все крупные облачные провайдеры разделяют рабочие нагрузки клиентов на одном уровне ядра Linux, Vercel заявила, что уязвимость там представляет риск для общей инфраструктуры, а не для какого-либо одного провайдера.
Исправление — это одно изменение в ядре Linux, коммит 6785011f8b16, написанное Майклом С. Циркиным из Red Hat и включенное в основное ядро. Оно добавляет проверку того, что данные контрольной суммы пакета не могут указывать на заголовок IPv4 до того, как ядро примет его, и применяет эту проверку в пяти местах сетевого кода.
Изменение намеренно частичное. Его автор называет его «мерой защиты в глубину» и отмечает, что более полная проверка способа поступления пакетов в ядро еще требует доработки.
Сопровождающие перенесли исправление в стабильные ветки ядра. Согласно записи CVE, это первые исправленные версии в каждой поддерживаемой ветке:
Linux-дистрибутивы поставляют свои собственные ядра и часто добавляют такого рода исправления, не изменяя номер версии, поэтому проверьте рекомендации вашего дистрибутива и убедитесь, что исправление присутствует в ядре, которое фактически работает на хосте, а не только номер из uname.
Обновите ядро хоста до одной из исправленных версий выше или до сборки поставщика, включающей исправление, и перезагрузитесь в нее. Обновление только ядра гостевой системы не исправляет хост. Источники не предоставляют отдельного обходного пути для этой уязвимости, если вы пока не можете обновиться.
Там, где исправление должно ждать, обычным шагом является ограничение того, чего может достичь взлом. Vercel заявила, что поддерживает ядра хостов в актуальном состоянии, отключает вложенную виртуализацию и запускает каждую микро-ВМ под управлением тюремщика Firecracker, который предоставляет процессу микро-ВМ только необходимые ему разрешения. Это не исправляет уязвимость, но сужает возможности злоумышленника, который ее использовал.
Уязвимость была обнаружена в двухнедельном конкурсе, который Vercel проводила в августе и предлагала до 1 миллиона долларов США каждому, кто сможет выбраться из ее песочницы. Ни одна отдельная выплата не достигла этой суммы. Максимальное вознаграждение за отчет составляло 50 000 долларов США; Vercel выплатила 242 000 долларов США по 1285 отчетам, и эта уязвимость была единственным критическим обнаружением.
pwn.ai заявила, что обнаружила уязвимость за три дня, используя свою собственную систему исследований с поддержкой ИИ, где модель выполняла анализ исходного кода, а исследователи-люди направляли работу. Фирма оценила затраты менее чем в 700 долларов США в виде токенов API. Это был последний случай, когда исследователи использовали большую языковую модель для помощи в поиске и объединении реальных уязвимостей, после того как ранее в этом году другая команда использовала ее для получения доступа к внутренним системам OpenAI.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
