Una vulnerabilidad crítica, denominada PwnEscape (CVE-2026-99999), ha sido descubierta en el código de red del kernel de Linux. Esta falla permite que el código ejecutado dentro de una máquina virtual (VM) huésped pueda leer la memoria del equipo anfitrión, provocar su caída o incluso ejecutar código arbitrario en él. La vulnerabilidad fue demostrada con éxito contra los entornos de prueba en la nube de Vercel, quienes confirmaron el hallazgo. Dado que la falla reside en la capa compartida que los proveedores de nube utilizan para aislar las cargas de trabajo de los clientes, su alcance se extiende a gran parte de la infraestructura de nube que depende del kernel de Linux. Aunque fue reportada de forma privada y no hay indicios de su explotación en ataques reales, ha sido calificada con una puntuación de 9.3 sobre 10 (Crítica) por su potencial impacto.
La explotación de PwnEscape se logra mediante el envío de paquetes de red especialmente diseñados desde el interior de una VM. Cada paquete malicioso puede extraer aproximadamente 32 bytes de la memoria del anfitrión, y un atacante puede continuar este proceso enviando múltiples paquetes. Se demostró que tan solo dos paquetes manipulados pueden causar la caída de un anfitrión, afectando a todas las máquinas virtuales que se ejecutan en él. Aunque el control de administrador sobre el anfitrión solo se observó en entornos de laboratorio controlados por los investigadores, el riesgo potencial es significativo. El vector de ataque se clasifica como local, lo que significa que el atacante debe haber logrado previamente la ejecución de código dentro de una VM.
La solución para esta vulnerabilidad es un cambio específico en el kernel de Linux (commit 6785011f8b16), que añade una verificación para asegurar que los datos de suma de verificación de un paquete no apunten hacia la cabecera IPv4 antes de que el kernel los procese. Este parche ha sido incorporado a las ramas estables del kernel. Las versiones mínimas corregidas son: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 y 7.2.11. Es crucial que las organizaciones actualicen el kernel del anfitrión a una de estas versiones o a la compilación de su proveedor que incluya el parche, y reinicien el sistema. Actualizar únicamente el kernel de una VM huésped no resuelve la vulnerabilidad en el anfitrión. En los casos donde el parcheo inmediato no sea posible, se recomienda limitar el alcance de una posible intrusión, deshabilitando la virtualización anidada y ejecutando las microVM con los permisos mínimos necesarios.
Qué significa para tu empresa: La gestión proactiva de parches y la visibilidad constante sobre su infraestructura son cruciales. Para entornos de nube híbrida, esta vulnerabilidad subraya la importancia de mantener actualizados los kernels de los sistemas operativos que soportan sus máquinas virtuales. Contar con un SOC con monitoreo 24/7 es fundamental para detectar anomalías y actividades sospechosas que podrían indicar intentos de explotación de este tipo de fallas, permitiendo una respuesta rápida y efectiva.
Fuente original: The Hacker News — ver artículo →