PwnEscape zit in Linux-netwerkcode, niet in KVM

PwnEscape, CVE-2026-99999, is een kwetsbaarheid in de IPv4-netwerkverwerking van de Linux-kernel. Via een netwerkpad voor virtuele machines kan gastverkeer die code bereiken; de fout zit niet in KVM zelf. De gemelde gevolgen lopen uiteen van een begrensd geheugenlek tot een afzonderlijke root-helperketen in een eigen testomgeving van onderzoeker Paulos Yibelo.

Waar PwnEscape zit

KVM verzorgt de virtualisatie, maar verwerkt niet zelf de kwetsbare IPv4-code. De fout zit in het netwerkpad van de Linux-kernel op de host. Bij een opstelling met KVM en virtio-net/TAP kan informatie uit een gast invloed hebben op de verdere verwerking van netwerkpakketten door die host. De technische beschrijving van Paulos Yibelo en de geaccepteerde Linux-kernelpatch plaatsen het probleem in die IPv4-verwerking.

Dat onderscheid is praktisch belangrijk: de kwetsbaarheid zit in de hostkernel, niet in de kernel van de gast. Een update van alleen het besturingssysteem binnen een virtuele machine repareert dus niet het kwetsbare hostpad.

Hoe de checksumverwerking tot een geheugenlek leidt

Netwerkpakketten kunnen metadata bevatten die aangeven waar checksumverwerking moet beginnen. Bij PwnEscape kan een uitgestelde checksumschrijfactie volgens Yibelo bytes veranderen in een IPv4-header die al was verwerkt. Daarna leest fragmentatie de gewijzigde headerlengte opnieuw uit het pakket.

In Yibelo’s beschreven test veranderde de geïnterpreteerde headerlengte van 20 naar 60 bytes. Het pakket bevatte 28 bytes logische lineaire data: een IPv4-header van 20 bytes en 8 bytes payload. De fragmentatiecode behandelde de header vervolgens als 60 bytes en nam daardoor 32 bytes hostgeheugen mee in verzonden fragmenten. Yibelo beschrijft dit als een herhaalbaar lek van 32 bytes in de onderzochte situatie, geen vaste uitkomst voor elk pakket of elke host.

Geheugenlek en rootketen waren aparte resultaten

De geheugenopenbaarmaking en de latere stap naar hostrechten zijn verschillende onderzoeksresultaten. Yibelo rapporteerde ook geselecteerde writes van 64 bytes naar hostkernelgeheugen en een root-helperketen die in zijn eigen KVM-testomgeving vier koude starts doorstond. Die keten werd niet op een productiehost van een cloudprovider aangetoond.

The Hacker News berichtte daarnaast dat Vercel een geheugenlek in een productiesandbox had gedemonstreerd. Dat is een andere uitkomst dan de root-helperketen uit Yibelo’s eigen testomgeving. De meldingen over geheugenopenbaarmaking, kernelwrites en rootuitvoering moeten daarom niet als één enkele demonstratie worden gelezen.

Wat de upstreampatch verandert

De upstreampatch voegt ip_check_csum_start() toe. Die controle weigert checksum-startposities vóór het einde van de IPv4-header. De kernel voert de controle uit vóór checksumvoltooiing op vijf verwerkingspunten.

Yibelo beschrijft de wijziging als een extra verdedigingslaag. Ze controleert de checksum-startpositie op die punten, maar is geen volledige herziening van de invoervalidatie in het netwerkpad.

Voor upstream-stable kernels noemt The Hacker News versies 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 en 7.2.11 als versies met de fix. Distributies kunnen de patch terugzetten naar hun eigen kernelpakketten, waardoor hun pakketversies kunnen afwijken van deze upstreamnummers. Beheerders moeten daarom de passende kernelupdate voor hun distributie installeren en de host daarna opnieuw opstarten.

AWS-diensten en zelf beheerde hosts

In bulletin 2026-137-AWS van 15 oktober 2026 zegt AWS dat zijn beheerde EC2-, Lambda- en Fargate-diensten niet zijn getroffen. AWS maakt apart melding van klanten die zelf KVM/virtio-net-hosts beheren: getroffen hosts met een kwetsbare, niet bijgewerkte kernel vallen wel binnen de reikwijdte van de kwetsbaarheid. AWS adviseert voor die hosts de toepasselijke hostupdate te installeren en opnieuw op te starten. De AWS-beveiligingsmelding noemt ook vaste Amazon Linux-pakketten.

De uitspraak over de beheerde diensten geldt niet automatisch voor infrastructuur die klanten zelf beheren. Daar bepaalt de kernel op de host mede of de kwetsbare code aanwezig is.

Waarom er twee CVSS-scores zijn

CVE-2026-99999 heeft twee CVSS 3.1-scores met verschillende uitgangspunten. De beoordeling van cve.org is 9,3 en gebruikt PR:N, oftewel geen vereiste privileges. Red Hat geeft voor zijn productbeoordeling 8,8, met PR:L, oftewel lage vereiste privileges. Red Hat noemt de eerste score eveneens in zijn beveiligingsadvies.