From 59b51e8d9a3ffe28c04f535e457a178c89288f0d Mon Sep 17 00:00:00 2001 From: test Date: Fri, 16 Oct 2026 22:34:47 +0000 Subject: [PATCH] =?UTF-8?q?=E6=AD=A3=E5=9C=A8=E8=8E=B7=E5=8F=96URL...=20ch?= =?UTF-8?q?ainreactors:=200=20=E4=B8=AAURL=20BruceFeIix:=204=20=E4=B8=AAUR?= =?UTF-8?q?L=20Doonsec:=2030=20=E4=B8=AAURL=20=E6=80=BB=E5=85=B1=E5=8E=BB?= =?UTF-8?q?=E9=87=8D=E5=90=8E:=2034=20=E4=B8=AAURL=20Linux=20=E5=86=85?= =?UTF-8?q?=E6=A0=B8=E6=9B=9D=E5=87=BA=E4=B8=A5=E9=87=8D=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=EF=BC=9A=E5=8F=AF=E5=AF=BC=E8=87=B4=E8=99=9A=E6=8B=9F=E6=9C=BA?= =?UTF-8?q?=E9=80=83=E9=80=B8=E5=B9=B6=E8=8E=B7=E5=8F=96=E5=AE=BF=E4=B8=BB?= =?UTF-8?q?=E6=9C=BA=E6=8E=A7=E5=88=B6=E6=9D=83=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 3 +- ...拟机逃逸并获取宿主机控制权.md | 32 +++++++++++++++++++ 2 files changed, 34 insertions(+), 1 deletion(-) create mode 100644 doc/2026-10/Linux 内核曝出严重漏洞：可导致虚拟机逃逸并获取宿主机控制权.md diff --git a/data.json b/data.json index 9abf3a26..1cb75496 100644 --- a/data.json +++ b/data.json @@ -27781,5 +27781,6 @@ "https://mp.weixin.qq.com/s/HXQ8io4JvsQorAVk9Z-fug": "Next.js 曝出严重漏洞：可导致未授权远程代码执行 (RCE)", "https://mp.weixin.qq.com/s/OtN2kVEfiSai68TZdXuEaQ": "当漏洞挖掘遇上 AI Agent：主流企业防火墙 0day 挖掘实战", "https://mp.weixin.qq.com/s/z8IFXcN5B4r7wLjKelFReQ": "红队实战指南：AI驱动的渗透测试、红队评估和漏洞挖掘", - "https://mp.weixin.qq.com/s/qoyWigfL25Yn96yUGUTS5A": "关于双十一期间暂停授权测试及漏洞收录的通知" + "https://mp.weixin.qq.com/s/qoyWigfL25Yn96yUGUTS5A": "关于双十一期间暂停授权测试及漏洞收录的通知", + "https://mp.weixin.qq.com/s/yayaoL2lXOzVFyoKt2OOWQ": "Linux 内核曝出严重漏洞：可导致虚拟机逃逸并获取宿主机控制权" } \ No newline at end of file diff --git a/doc/2026-10/Linux 内核曝出严重漏洞：可导致虚拟机逃逸并获取宿主机控制权.md b/doc/2026-10/Linux 内核曝出严重漏洞：可导致虚拟机逃逸并获取宿主机控制权.md new file mode 100644 index 00000000..5db1ccde --- /dev/null +++ b/doc/2026-10/Linux 内核曝出严重漏洞：可导致虚拟机逃逸并获取宿主机控制权.md @@ -0,0 +1,32 @@ +# Linux 内核曝出严重漏洞：可导致虚拟机逃逸并获取宿主机控制权 + 网安百色 2026-10-16 10:42 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/WibvcdjxgJnuBFs0vTm7xjov89DibDOH5BSYkfKzCib5kFKkrwkGr5mSbw1bb0sfEMBc4lcVw8jPicnFdOiae1hTVXRTPAWOwBiaI96iaySFAG6qYs/640?wx_fmt=png&from=appmsg "") + +Linux 内核中存在一处严重漏洞，可能允许攻击者控制的虚拟机 (VM) 突破其隔离边界并直接影响宿主机系统。该漏洞编号为 CVE-2026-99999，被研究员 Paulos Yibelo 命名为 "PwnEscape"。其根源在于 Linux 的网络代码，而非特定的虚拟机监视器 (hypervisor)。 + +Paulos Yibelo 演示了一种可泄露宿主机内存的技术，并在其实验室环境中进一步实现了宿主机级别的代码执行。对于在虚拟机中运行不受信任工作负载的云服务商和企业而言，此漏洞危害极大。虚拟机隔离的初衷，正是为了防止客户机 (guest) 内部的代码触及宿主机或其他工作负载。 + +PwnEscape 揭示了宿主机数据包处理路径中的弱点如何威胁这一隔离边界，即使底层问题并不出在虚拟机监视器本身。 +### PwnEscape 内核漏洞详情 + +Linux 支持延迟计算网络数据包的校验和 (checksum)。这是一项常规的性能优化特性：数据包元数据会告知内核校验和操作应从何处开始，以及结果应写入何处。 + +问题出在可信度较低的数据包元数据能够影响后续对 IPv4 头部的写入操作。Linux 已经使用头部先前的内容处理了该数据包，但在分片 (fragmentation) 操作之前，延迟的校验和计算可能会修改这些内容。随后的代码则依赖了更新后的 IPv4 头部长度。 + +在 Paulos Yibelo 的测试用例中，数据包最初显示为标准的 20 字节 IPv4 头部。在延迟写入发生后，该头部可能被解析为 60 字节长。随后，分片代码可能会将超出数据包有效线性数据范围的字节视为头部的一部分，并将其包含在发出的数据包中。他报告称，这导致了 32 字节的宿主机内存泄露。 + +这种内存泄露并不等同于代码执行。报告描述了另一条独立的、在受控实验室环境中构建的利用链：研究人员通过观察宿主机内存并精心控制内存分配行为，演示了特定的内核内存写入，并运行了一个获取宿主机 root 权限的辅助程序。他们特别指出，该结果是在研究人员自有的系统上复现的，并不能作为在云服务商生产环境中实现 root 权限执行的证明。 + +宿主机内存泄露可能会暴露本应超出客户机访问范围的信息。要将这种基础利用条件 (primitive) 转化为对宿主机的实际控制，可能还需要进一步的利用步骤；且该报告并未证明所有 Linux 虚拟机或虚拟机监视器都面临同等程度的风险。 +

Linux 内核分支

该分支内受影响的版本

首个修复版本

5.10

5.10 至 5.10.271

5.10.272

5.15

5.15 至 5.15.222

5.15.223

6.1

6.1 至 6.1.189

6.1.190

6.6

6.6 至 6.6.158

6.6.159

6.12

6.12 至 6.12.112

6.12.113

6.18

6.18 至 6.18.56

6.18.57

7.2

7.2 至 7.2.10

7.2.11

7.3 开发系列

7.3-rc7 之前的候选发布版本

7.3-rc7

+Linux 上游补丁在特定的校验和完成操作之前增加了一项检查。它会验证校验和的起始位置是否不在 IPv4 头部之内。如果元数据未通过该检查，内核将不会沿受影响的路径继续执行该校验和写入。此项更改覆盖了多个调用方，包括 IPv4 分片处理逻辑。 + +提交信息 (commit) 将此项更改描述为一种纵深防御 (defense-in-depth) 措施，同时指出，在数据包输入阶段进行更严格的验证仍需进一步工作。换言之，该补丁在内核完成校验和的环节增加了防护，但并未对校验和元数据如何进入网络协议栈进行全面重构。 + +管理员应查阅其 Linux 发行版厂商的安全公告，并安装包含此修复的更新内核。上游提交记录有助于识别该更改，但 Linux 发行版通常会将安全修复向后移植 (backport) 到较旧的内核版本中。 + +本公众号所载文章为本公众号原创或根据网络搜索下载编辑整理，文章版权归原作者所有，仅供读者学习、参考，禁止用于商业用途。因转载众多，无法找到真正来源，如标错来源，或对于文中所使用的图片、文字、链接中所包含的软件/资料等，如有侵权，请跟我们联系删除，谢谢！ + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/1QIbxKfhZo5lNbibXUkeIxDGJmD2Md5vKicbNtIkdNvibicL87FjAOqGicuxcgBuRjjolLcGDOnfhMdykXibWuH6DV1g/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=p6hk1x4r&tp=webp#imgIndex=1 "") +