if ( !emtpy($headline_subheadline ) ) : ?>
PwnEscape, une faille qui implique le déchargement de la somme de contrôle, provient du sous-système réseau IPv4 de l’hôte Linux. Les chercheurs préviennent que des bugs similaires pourraient exister ailleurs dans la pile réseau.
endif; ?>
Les chercheurs en sécurité ont découvert une faille critique dans la pile réseau du noyau Linux qui peut permettre aux attaquants de s’échapper d’une machine virtuelle KVM et d’exécuter du code sur le système hôte. Cette faiblesse pourrait également permettre aux attaquants de compromettre les systèmes exécutant d’autres plates-formes de virtualisation et sandbox basées sur Linux.
Traquée sous le nom CVE-2026-99999 et baptisée PwnEscape, la vulnérabilité a été découverte par des chercheurs de la startup de tests d’intrusion basée sur l’IA Pwn.ai lors d’un défi d’un million de dollars visant à pirater la plate-forme sandbox de Vercel, qui utilise des microVM Firecracker basées sur KVM. Plutôt que d’exploiter un bug dans l’hyperviseur KVM lui-même, l’attaque cible le code réseau Linux qui gère le trafic provenant des machines virtuelles. Des paquets spécialement conçus peuvent modifier un en-tête IPv4 une fois que le noyau de l’hôte l’a déjà validé, ce qui oblige le traitement ultérieur à faire confiance aux données des paquets que les attaquants ont manipulées.
Les chercheurs de Pwn.ai ont démontré une fuite de mémoire hôte contre les sandbox de production de Vercel et ont obtenu séparément des pannes d’hôte et l’exécution de code au niveau racine sur des systèmes contrôlés par les chercheurs. Vercel a confirmé les résultats mais a déclaré qu’aucun rapport n’indiquait l’accès aux fichiers clients, aux secrets ou aux données des applications.
Un correctif a été fusionné dans le noyau Linux principal avec des versions corrigées du noyau désormais disponibles pour plusieurs distributions. Les administrateurs doivent déployer ces mises à jour du noyau sur les systèmes hôtes, car la mise à jour uniquement des machines virtuelles invitées ne corrige pas la vulnérabilité.
Le traitement de la somme de contrôle réécrit les en-têtes validés
La faille implique le déchargement de la somme de contrôle, une optimisation des performances qui permet à Linux de reporter le calcul de la somme de contrôle d’un paquet. Parallèlement au paquet, le noyau transporte des métadonnées spécifiant où ce calcul doit commencer et où son résultat doit être écrit, mais dans les réseaux virtuels, ces instructions peuvent provenir d’un invité non fiable.
L’implémentation vulnérable n’a pas réussi à garantir que l’achèvement de la somme de contrôle laisserait intact l’en-tête IPv4 déjà validé, ce qui signifie que les métadonnées contrôlées par l’invité pourraient écrire directement dans cet en-tête, modifiant ainsi la longueur annoncée avant que le paquet ne soit divisé en fragments plus petits pour la transmission.
Dans leur démonstration, les chercheurs ont réussi à modifier la longueur de l’en-tête de 20 à 60 octets, alors que le tampon des paquets ne contenait que 28 octets de données valides. Le processus de fragmentation a ensuite copié 32 octets au-delà de ces données valides dans les paquets sortants, entraînant une fuite de la mémoire hôte. En répétant le processus, les chercheurs ont pu effectuer des observations et contrôler les allocations de mémoire pour réaliser des écritures dans la mémoire du noyau hôte afin d’exécuter un programme d’assistance en tant que root. Les étapes complètes d’exploitation qui font passer cette attaque d’une fuite de mémoire à l’exécution de code n’ont pas encore été révélées publiquement, mais les chercheurs prévoient un article séparé.
« La chaîne d’écriture sensible à l’allocateur, les contrôles de durée de vie des objets et autres adaptations spécifiques à l’hyperviseur sont suffisamment volumineux pour nécessiter un article séparé », ont-ils déclaré. « Bien que nous soupçonnions que l’industrie de la sécurité utilisera ce message pour identifier les autres hyperviseurs concernés, nous nous attendons à ce que les exploits dans les configurations les plus faibles arrivent dans quelques semaines, et que les exploits fonctionnant dans les configurations d’hyperviseur par défaut arrivent dans moins d’un mois. »
La surface d’attaque s’étend au-delà de KVM
PwnEscape diffère des autres attaques d’échappement de VM qui ciblent la gestion par l’hyperviseur des processeurs virtuels ou de la mémoire. La vulnérabilité Januscape révélée plus tôt cette année, par exemple, affectait le code de gestion de la mémoire de KVM, mais avec cet exploit, le code vulnérable se trouve dans le sous-système réseau IPv4 de l’hôte Linux.
Les chercheurs préviennent que des bugs similaires pourraient exister ailleurs dans la pile réseau, partout où les métadonnées contrôlées par l’invité peuvent modifier les champs des paquets après que ces champs ont déjà passé la validation.
Le correctif accepté, rédigé par le développeur Red Hat Michael S. Tsirkin, ajoute une validation à cinq points d’achèvement de la somme de contrôle, y compris la fragmentation IPv4, le suivi des connexions par pont et le filtrage des paquets, mais le message de validation du correctif indique qu’« une validation plus complète en entrée est à venir, mais nécessite plus de travail ».
L’impact de la faille sur d’autres hyperviseurs et technologies de conteneurs reste à voir. Red Hat répertorie les composants OpenShift Container Platform comme concernés, mais d’autres technologies de virtualisation comme Docker ou Xen n’ont pas encore émis d’avis.
L’attaque d’invité à hôte nécessite une charge de travail contrôlée par l’attaquant, capable de fournir le trafic mal formé via le réseau virtuel. Par conséquent, les administrateurs d’environnements qui permettent l’exécution de code non fiable dans les machines virtuelles doivent agir dès que possible.
« L’architecture de sécurité doit supposer qu’à terme, quelque chose sera compromis et s’assurer que cette compromission ne se transforme pas en propriété totale de l’hôte », a déclaré Zenla.
AWS affirme que ses services gérés EC2, Lambda et Fargate ne sont pas affectés par CVE-2026-99999, mais les clients exécutant leurs propres machines virtuelles KVM avec un réseau virtio-net sur des hôtes vulnérables doivent appliquer les mises à jour du noyau appropriées. Les administrateurs doivent suivre les conseils de leur distribution car les correctifs peuvent être rétroportés vers d’anciennes versions du noyau.
