Desde Linux PwnEscape: una vulnerabilidad que permite a máquinas virtuales atacar directamente al si

Desde Linux
PwnEscape: una vulnerabilidad que permite a máquinas virtuales atacar directamente al sistema anfitrión

https://blog.desdelinux.net/wp-content/uploads/2026/10/pwnescape-Linux.png
Hace poco se dio a conocer información importante sobre una vulnerabilidad crítica, catalogada como CVE-2026-99999 y apodada «PwnEscape», en la pila de red IPv4 del kernel de Linux. El fallo permite a un sistema invitado escapar de su aislamiento y acceder a la memoria del sistema anfitrión, logrando finalmente la ejecución de código con privilegios de administrador (root).

El hallazgo fue realizado como parte de un desafío de seguridad impulsado por Vercel, en el cual un equipo de investigadores utilizó el arnés experimental Omega-Pwn asistido por el modelo de inteligencia artificial GPT-5.6 Sol. Aunque la prueba de concepto se centró en un entorno virtualizado con KVM, el origen del problema reside nativamente en el procesamiento de red del kernel de Linux, lo que potencialmente expone a otros hipervisores y plataformas de aislamiento. Si bien la vulnerabilidad se originó en el kernel de Linux y no fue un fallo o configuración errónea específica de Vercel, Vercel merece un gran reconocimiento por cómo la gestionó. Actuaron con rapidez para proteger a sus clientes, iniciaron su propia investigación independiente, identificaron y notificaron a otros proveedores de hipervisores y entornos aislados afectados, y colaboraron estrechamente con nosotros para coordinar la divulgación y las correcciones en toda la industria. Sobre PwnEscape

Los investigadores mencionan en su informe que el núcleo de la vulnerabilidad es un problema semántico de «Tiempo de Comprobación a Tiempo de Uso» (TOCTOU) relacionado con el cálculo diferido de sumas de comprobación en la estructura de paquetes.

Este error se aprovecha cuando un paquete de red malicioso originado en el sistema invitado ingresa con la bandera CHECKSUM_PARTIAL y valores manipulados en sus metadatos (skb->csum_start y skb->csum_offset), supera las validaciones iniciales de longitud asumiendo una cabecera legítima de 20 bytes. Sin embargo, durante el procesamiento de fragmentación de salida, la escritura diferida de la suma de comprobación sobrescribe datos sobre la cabecera IPv4 que ya había sido validada. La parte más interesante es el orden de las operaciones. El host ingress ve y analiza un paquete IPv4 con una cabecera ordinaria. El procesamiento de fragmentos y el enrutamiento pueden operar sobre ese estado. Posteriormente, la fragmentación de salida llega a la suma de verificación pendiente. Esto altera el primer byte del paquete (pasando, por ejemplo, de 0x45 a 0x4f), lo que engaña al núcleo del sistema haciéndole creer que el tamaño de la cabecera ha aumentado repentinamente de 20 a 60 bytes.

Al procesar este nuevo tamaño falsificado de la cabecera, el kernel copia 40 bytes adicionales fuera de la longitud lógica inicial. De estos, 32 bytes corresponden a memoria confidencial del sistema anfitrión que queda fuera de los límites lógicos del búfer del paquete, los cuales son transmitidos de vuelta como parte de la sección de opciones IP. Lo fundamental es que estos valores no son meros metadatos descriptivos . Autorizan una escritura posterior en la memoria del paquete. Si un software menos confiable puede influir en ellos, su validez debe mantenerse tras cada operación entre su admisión y su finalización. En el exploit desarrollado, esta fuga de información permitió a los investigadores recrear la distribución de la memoria, eludir la protección de aleatorización KASLR y configurar las condiciones exactas para sobrescribir 64 bytes de memoria de forma controlada, ejecutando código como root. Los detalles precisos de esta cadena de explotación se mantienen en privado para otorgar tiempo[...]