PwnEscape（CVE-2026-99999）是Linux内核中的一项严重漏洞，CVSS 3.1评分为9.3。问题出在IPv4网络数据包处理：来宾虚拟机（VM）提供的网络元数据，可能使宿主机内核在完成校验后改写数据包头部；后续分片处理又信任了被改动的头部。报告称，这一缺陷可能导致宿主机内存信息泄露；研究人员还在实验环境中演示了从来宾机逃逸到宿主机。4823

校验和元数据如何引发越界读取

网络设备可以通过“校验和卸载”元数据告知内核，数据包的校验和工作尚待完成。PwnEscape涉及不正确或不可信的元数据进入IPv4协议栈：内核补全校验和时，可能改写已经处理过的头部。已接受的修复在补全校验和前增加了对 checksum_start 的检查。1923

问题的关键，是“先校验、后改动”造成了检查与使用不一致。之后的分片代码会根据已经改变的IPv4头部，判断要复制多少头部数据。在研究人员报告的测试案例中，内核按60字节处理头部，但数据包实际只有28字节的逻辑数据可用，两者相差32字节；多出的内容来自数据包逻辑边界之外的内存。这是该测试案例中的数值，并不意味着每个数据包都会泄露恰好32字节。18

为什么这关系到虚拟机隔离

漏洞存在于Linux网络协议栈，而不是KVM虚拟机监控器代码中。虚拟机的网络流量可能经过宿主机共享的数据包处理路径，因此，仅修补或更换某一种虚拟机监控器，并不能解决这条路径上的漏洞。风险针对的是运行受影响内核、且会通过漏洞代码处理来宾机可控流量的宿主机。38

利用这一漏洞的前提是攻击者能够在来宾虚拟机内运行代码并发送特制数据包。现有报道没有将其描述为可从互联网直接攻击任意Linux主机、且无需身份验证的漏洞。47

研究人员演示了什么

报道提到，研究人员在Vercel生产环境的沙箱中演示了宿主机内存信息泄露。另有一项结果是在研究人员的实验环境中实现宿主机级代码执行。两者并不相同：现有证据并不能证明研究人员在Vercel生产系统上取得了root权限或实现了代码执行。46

pwn.ai研究人员Paulos Yibelo是在参加Vercel的Sandbox安全挑战时发现该问题的。报道说，这项挑战共收到1,285份报告，PwnEscape是其中唯一被评为严重级别的漏洞。这些数字本身并不能证明客户数据曾遭到访问。243037

修复版本与运维检查要点

上游修复对应的提交为 6785011f8b16，标题是 ipv4: validate checksum_start before completing checksum。已发布并包含修复的稳定版包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57和7.2.11。1227

由于缺陷位于宿主机内核的数据包处理路径，运维人员应检查并更新宿主机内核；只更新虚拟机内部的软件不能替代宿主机修补。不同Linux发行版的内核版本号和发布节奏可能不同，请查阅相应厂商公告，并确认宿主机正在运行已修复的内核。16

截至10月16日，AlmaLinux称已提供包含修复的内核。这是截至该日期的状态更新，并不代表所有发行版都已完成发布；具体可用情况可能因厂商和发行版本而异。6

PwnEscape（CVE-2026-99999）是Linux内核中的一项严重漏洞，CVSS 3.1评分为9.3。问题出在IPv4网络数据包处理：来宾虚拟机（VM）提供的网络元数据，可能使宿主机内核在完成校验后改写数据包头部；后续分片处理又信任了被改动的头部。报告称，这一缺陷可能导致宿主机内存信息泄露；研究人员还在实验环境中演示了从来宾机逃逸到宿主机。4823

校验和元数据如何引发越界读取

网络设备可以通过“校验和卸载”元数据告知内核，数据包的校验和工作尚待完成。PwnEscape涉及不正确或不可信的元数据进入IPv4协议栈：内核补全校验和时，可能改写已经处理过的头部。已接受的修复在补全校验和前增加了对 checksum_start 的检查。1923

问题的关键，是“先校验、后改动”造成了检查与使用不一致。之后的分片代码会根据已经改变的IPv4头部，判断要复制多少头部数据。在研究人员报告的测试案例中，内核按60字节处理头部，但数据包实际只有28字节的逻辑数据可用，两者相差32字节；多出的内容来自数据包逻辑边界之外的内存。这是该测试案例中的数值，并不意味着每个数据包都会泄露恰好32字节。18

为什么这关系到虚拟机隔离

漏洞存在于Linux网络协议栈，而不是KVM虚拟机监控器代码中。虚拟机的网络流量可能经过宿主机共享的数据包处理路径，因此，仅修补或更换某一种虚拟机监控器，并不能解决这条路径上的漏洞。风险针对的是运行受影响内核、且会通过漏洞代码处理来宾机可控流量的宿主机。38

利用这一漏洞的前提是攻击者能够在来宾虚拟机内运行代码并发送特制数据包。现有报道没有将其描述为可从互联网直接攻击任意Linux主机、且无需身份验证的漏洞。47

研究人员演示了什么

报道提到，研究人员在Vercel生产环境的沙箱中演示了宿主机内存信息泄露。另有一项结果是在研究人员的实验环境中实现宿主机级代码执行。两者并不相同：现有证据并不能证明研究人员在Vercel生产系统上取得了root权限或实现了代码执行。46

pwn.ai研究人员Paulos Yibelo是在参加Vercel的Sandbox安全挑战时发现该问题的。报道说，这项挑战共收到1,285份报告，PwnEscape是其中唯一被评为严重级别的漏洞。这些数字本身并不能证明客户数据曾遭到访问。243037

修复版本与运维检查要点

上游修复对应的提交为 6785011f8b16，标题是 ipv4: validate checksum_start before completing checksum。已发布并包含修复的稳定版包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57和7.2.11。1227

由于缺陷位于宿主机内核的数据包处理路径，运维人员应检查并更新宿主机内核；只更新虚拟机内部的软件不能替代宿主机修补。不同Linux发行版的内核版本号和发布节奏可能不同，请查阅相应厂商公告，并确认宿主机正在运行已修复的内核。16

截至10月16日，AlmaLinux称已提供包含修复的内核。这是截至该日期的状态更新，并不代表所有发行版都已完成发布；具体可用情况可能因厂商和发行版本而异。6