Un grave problema di sicurezza è stato scoperto nel sistema di virtualizzazione Linux KVM, il quale potrebbe permettere a un attaccante di sfuggire dall’ambiente virtuale “guest” e accedere al “host” sottostante. Il ricercatore Paulos Yibelo ha identificato questa vulnerabilità, classificata come CVE-2026-99999, e nominata “PwnEscape”, che ha ricevuto un punteggio di 9.3, indicando la sua criticità.
PwnEscape consente a un ospite di inviare pacchetti IPv4 malformati, potenzialmente sfruttando la situazione per aggirare l’isolamento tra macchine virtuali, che è fondamentale per la sicurezza operativa di pubbliche e private nuvole virtuali. La vulnerabilità rappresenta un incubo per la sicurezza, poiché compromette il principio fondamentale della virtualizzazione, secondo cui le macchine virtuali dovrebbero essere isolate l’una dall’altra e dal server host.
Secondo quanto riportato, se un pacchetto con metadati di checksum non validi entra nello stack IPv4, può danneggiare l’intestazione di rete e causare notevoli disordini. La capacità di un attaccante di sfruttare il flusso di dati di rete per accedere a informazioni sensibili rappresenta una violazione diretta dell’isolamento tra guest e host, con potenziali conseguenze gravi, come l’esecuzione arbitraria di codice, il crash del sistema o la divulgazione di informazioni riservate.
Una nuova classe di minacce
Yibelo suggerisce che PwnEscape potrebbe rappresentare una nuova classe di attacchi nella rete Linux. Egli spiega che il metadato di checksum non affidabile può riscrivere i campi di pacchetto sensibili per la sicurezza, dopo che il kernel ha già validato e agito su di essi. Ciò mette in discussione assunzioni di sicurezza lungo tutto lo stack di rete, superando l’idea originale di fuga dalla macchina virtuale.
L’importanza di questa scoperta è accentuata dal fatto che Linux KVM è ampiamente utilizzato, essendo parte di un progetto che comprende oltre 40 milioni di righe di codice. Alcuni fornitori, come Edera, hanno sottolineato la vastità della superficie di attacco e hanno notato che solo quest’anno sono state segnalate ben sette vulnerabilità simili.
Servizi cloud come AWS e Google Cloud, che utilizzano KVM, hanno dichiarato che i loro sistemi non sono attualmente a rischio. Sono già in corso lavori per implementare una patch nel kernel di Linux, che sarà incorporata nelle principali distribuzioni come Debian, RHEL e Ubuntu, oltre che in prodotti di virtualizzazione come Nutanix e Proxmox.
Con la crescente attenzione alla sicurezza, in particolare nell’era dell’Intelligenza Artificiale, molti sviluppatori e ricercatori stanno esaminando le implicazioni di tale vulnerabilità, rendendo PwnEscape un punto focale per la comunità Linux e per coloro che sviluppano o utilizzano sistemi di virtualizzazione.
