概要

Linuxカーネルのネットワーク処理(チェックサムオフロード機能)に、ゲストVMからホストシステムへのエスケープを可能にする重大な脆弱性「PwnEscape」(CVE-2026-99999、CVSS9.3)が見つかった。セキュリティ研究者Paulos Yibelo氏(pwn.ai)が、Vercelが8月に発表した100万ドル規模のサンドボックス脆弱性調査チャレンジの中で発見したもので、同社のVercel Sandbox本番環境を使って実証された。修正パッチは10月8日に開発ツリーへ適用され、10月14日にメインラインへ統合、10月15〜16日にかけて詳細が公開された。

技術的な詳細

脆弱性は、パケットのチェックサム計算を遅延させるLinuxのチェックサムオフロード機能に存在する。攻撃者が制御するメタデータによってチェックサムの書き込み先をIPv4ヘッダー内に誘導できるため、カーネルが最初に処理したヘッダーと、その後のチェックサム補完処理やフラグメンテーション処理が参照するヘッダーとの間に食い違いが生じるTOCTOU(Time-of-Check to Time-of-Use)型の欠陥となっている。ネットワーキングコード内の5箇所のチェックサム検証処理に影響し、KVMやFirecrackerなど特定のハイパーバイザーに限らず広く該当する。

Yibelo氏はIPv4ヘッダーの解釈上の長さを20バイトから60バイトへ変更する手法を実証し、1パケットあたり約32バイトのホスト側メモリを外向きパケットに漏出させることに成功した。この手口は繰り返し実行できるため、理論上は無制限にホストメモリを読み取れる。さらに、研究室環境(Vercelの構成を模した自身のKVM/Firecracker環境)では、特別に作成した2つのパケットでホストおよび同一ホスト上の全サンドボックスをクラッシュさせられること、ホストの管理者権限でのコード実行も達成できたことが報告されている(いずれも本番環境での実証は確認されていない)。同氏によれば、調査は自社の独自ツール群とSingularityNETの「OmegaClaw」アーキテクチャの要素を組み合わせた内部ハーネス「Omega-Pwn」を用いて行われ、推論エンジンにはGPT-5.6 Solを採用、発見から3日間・APIトークン費用700ドル未満という低コストで成し遂げられたという。

対象はLinuxカーネル5.10、5.15、6.1、6.6、6.12、6.18、7.2系列。修正は、Red HatのMichael S. Tsirkin氏によるコミット(6785011f8b16)でIPv4ヘッダーへの不正なポインタ参照を防ぐ検証処理を追加するもので、各ブランチでは5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57、7.2.11以降で修正済みとなる。

影響と今後の見通し

VercelはVercel Sandboxについて「チャレンジ期間中に顧客のファイル、シークレット、アプリケーションデータが読み取られたという報告はなかった」とし、顧客データの侵害は確認されていないと説明している。一方で、Linuxカーネルをベースとしたマルチテナント型のVM分離はAWS EC2をはじめ主要クラウドベンダーで広く使われているアーキテクチャであり、同様の構成を取る基盤全般に影響が及ぶ可能性がある。現時点でCISAの実際に悪用された脆弱性カタログには掲載されておらず、実環境での攻撃も報告されていないが、各社はパッチ適用を急いでいる。この修正を手がけたTsirkin氏はこれを「多層防御の一手段」と位置づけており、パケット受信時のより包括的な検証については今後も対応が必要だとしている。