PwnEscape: Kritische Linux-Kernel-Lücke erlaubt Gast-VMs Lesezugriff auf Host-Speicher

Paulos Yibelo von der Sicherheitsfirma pwn.ai beschreibt in einer technischen Ausarbeitung, dass speziell präparierte Netzwerkpakete, die aus dem Inneren einer virtuellen Maschine verschickt werden, drei Dinge bewirken können: den Speicher des Hosts auslesen, den Host zum Absturz bringen und auf ihm Code ausführen. Alle drei Effekte gehen auf denselben Kernel-Fehler zurück.

Vercel bestätigte in seinem Bericht zu dem Wettbewerb, dass der Speicherabfluss gegen die Produktiv-Sandboxes nachgewiesen wurde. Jedes vom Gast gesendete Paket konnte rund 32 Byte Host-Speicher zurücktragen, und der Gast konnte den Vorgang beliebig fortsetzen, solange er weiter Pakete verschickte. Absturz und Codeausführung wurden dagegen nur auf den eigenen, der Vercel-Umgebung nachgebauten Systemen des Forschers beobachtet: Zwei präparierte Pakete genügten, um einen Host zum Absturz zu bringen und damit sämtliche darauf laufenden Sandboxes auszuschalten. Über dieselbe Lücke erlangte der Forscher anschließend administrative Kontrolle über einen Host und brach so aus der virtuellen Maschine aus. Er betonte, dies sei ein Laborergebnis und “keine Behauptung einer Root-Befehlsausführung in der Produktionsumgebung irgendeines Anbieters”.

Nach Angaben von Vercel zeigte kein Bericht aus dem Wettbewerb, dass jemand Dateien, Geheimnisse oder Anwendungsdaten eines Kunden lesen konnte.

Zum Vorgehen erklärte Paulos Yibelo: “Unsere Untersuchung lief über Omega-Pwn, ein internes Gerüst, das unsere eigenen Werkzeuge für Sicherheitsforschung mit Elementen der OmegaClaw-Architektur von SingularityNET verbindet. Es erlaubte uns, Hypothesen, Code-Spuren, gescheiterte Versuche und Experimentergebnisse über lang laufende Forschungssitzungen hinweg mitzunehmen. GPT-5.6 Sol war die primäre Schlussfolgerungs-Engine. Wir haben die Untersuchung gelenkt, ihre Ergebnisse hinterfragt und die interessanten gegen das tatsächliche Kernel-Verhalten auf Systemen überprüft, die wir kontrollierten.”

Einstufung und Voraussetzungen

Die Kernel-Maintainer vergaben die Kennung CVE-2026-99999 und bewerteten die Lücke im veröffentlichten Eintrag mit 9,3 von 10 Punkten, also kritisch. Die US-amerikanische National Vulnerability Database hatte den Eintrag zwar erhalten, ihre eigene Prüfung aber noch nicht abgeschlossen.

Derselbe Eintrag nennt als Angriffsvektor “lokal”: Ein Angreifer muss bereits Code innerhalb eines Gastsystems ausführen, so wie es bei dem Forscher der Fall war. Über das offene Internet lässt sich die Lücke nicht durch zugesandte Pakete ausnutzen. Sie steht nicht im Katalog aktiv ausgenutzter Schwachstellen der CISA, und eine Ausnutzung in realen Angriffen ist nicht bekannt. Die Meldung erfolgte vertraulich vor jeder Veröffentlichung.

Warum das über Vercel hinausreicht

Vercel Sandbox führt den Code jedes Kunden in einer eigenen Firecracker-MicroVM mit eigenem Linux-Kernel auf Bare-Metal-Hosts von Amazon EC2 aus. Diese MicroVM ist die Trennwand zwischen Kunde und Host sowie zwischen den Kunden untereinander. Der Fehler steckt jedoch nicht in dieser Wand, sondern im Netzwerkcode des Linux-Kernels, den der Host ausführt. pwn.ai erklärte, die Sandbox von Vercel sei bereits über branchenübliche Standards hinaus gehärtet gewesen; eine Fehlkonfiguration habe sich nicht finden lassen. Da praktisch alle großen Clouds die Arbeitslasten ihrer Kunden auf derselben Schicht des Linux-Kernels trennen, stelle ein Fehler an dieser Stelle laut Vercel ein Risiko für geteilte Infrastruktur dar und nicht für einen einzelnen Anbieter.

Der Fix

Behoben wird die Lücke durch eine einzelne Kernel-Änderung, den Commit 6785011f8b16 von Michael S. Tsirkin (Red Hat), der in den Mainline-Kernel eingeflossen ist. Er ergänzt eine Prüfung, dass die Prüfsummendaten eines Pakets nicht in den IPv4-Header zeigen dürfen, bevor der Kernel darauf reagiert, und wendet diese Prüfung an fünf Stellen im Netzwerkcode an. Die Änderung ist bewusst unvollständig: Ihr Autor bezeichnet sie als “eine Maßnahme der Verteidigung in der Tiefe” und weist darauf hin, dass eine umfassendere Prüfung beim Eintritt der Pakete in den Kernel noch Arbeit erfordert.

Die Maintainer haben den Fix in die stabilen Kernel-Zweige zurückportiert; der CVE-Eintrag nennt die jeweils ersten korrigierten Versionen der unterstützten Zweige. Linux-Distributionen liefern eigene Kernel aus und übernehmen solche Korrekturen oft, ohne die Versionsnummer zu ändern. Maßgeblich ist daher die Mitteilung der jeweiligen Distribution und die Frage, ob der Fix im tatsächlich laufenden Host-Kernel enthalten ist – nicht allein die von uname ausgegebene Nummer.

Maßnahmen

• Host-Kernel auf eine korrigierte Version oder einen Hersteller-Build mit dem Fix aktualisieren und neu starten.
• Ein Update allein im Gastsystem behebt das Problem auf dem Host nicht.
• Einen gesonderten Workaround für den Fall, dass nicht aktualisiert werden kann, gibt es nicht.

Wo das Patchen warten muss, bleibt nur, die Reichweite eines Einbruchs zu begrenzen. Vercel erklärte, man halte die Host-Kernel aktuell, deaktiviere verschachtelte Virtualisierung und betreibe jede MicroVM unter dem Jailer von Firecracker, der dem MicroVM-Prozess nur die nötigen Rechte einräumt. Das behebt die Lücke nicht, schränkt aber ein, was ein Angreifer damit anfangen könnte.

Fund im Millionen-Wettbewerb

Entdeckt wurde der Fehler in einem zweiwöchigen Wettbewerb, den Vercel im August veranstaltete und bei dem insgesamt bis zu eine Million US-Dollar für einen Ausbruch aus der Sandbox ausgelobt waren. Diese Summe erreichte keine einzelne Auszahlung: Die höchste Prämie pro Bericht lag bei 50.000 US-Dollar, insgesamt zahlte Vercel 242.000 US-Dollar für 1.285 Berichte. Dieser Fehler war der einzige als kritisch eingestufte Fund.

pwn.ai zufolge gelang der Fund in drei Tagen mit dem eigenen KI-gestützten Forschungssystem, wobei das Modell die Quellcode-Analyse übernahm und menschliche Forscher die Arbeit lenkten. Die Kosten beziffert die Firma auf weniger als 700 US-Dollar an API-Token. Es ist der jüngste Fall, in dem Forscher ein großes Sprachmodell zum Auffinden und Verketten realer Schwachstellen einsetzten, nachdem ein anderes Team Anfang des Jahres damit interne Systeme von OpenAI erreicht hatte.