Falha Crítica em KVM Permite Escape de Máquina Virtual para Host

PwnEscape é uma falha crítica no subsistema de rede do Linux, não no hypervisor KVM diretamente, que permite a uma máquina virtual (VM) "guest" não confiável alcançar execução de código com privilégios de root no host. A vulnerabilidade reside na manipulação de metadados de checksum que reescrevem um cabeçalho IPv4 depois que o kernel do host já o validou, uma clássica falha de "time-of-check/time-of-use". Especificamente, dados controlados pelo guest podem alterar o campo 'ihl' (Internet Header Length) do IPv4 de 20 para 60 bytes, enganando o kernel para copiar 40 bytes extras, incluindo 32 bytes de dados de memória do host, para fora do buffer lógico do pacote e transmiti-los como opções IP falsas.

Essa brecha explora como o Linux lida com "checksum offload" e com a estrutura "sk_buff", permitindo que metadados "checksum_start" autorizem uma escrita posterior na memória do pacote. Se esses metadados não forem validados corretamente contra o cabeçalho IPv4 em seu estado final após processamento de link-layer, uma escrita de checksum pode sobrescrever partes do cabeçalho que já foram consideradas seguras. A correção (commit 6785011f8b16) reforça a validação de "checksum_start", garantindo que a escrita não interfira com o cabeçalho IPv4.

A revelação técnica da PwnEscape aprofunda o que o CEVIU News reportou em 5 de outubro de 2026, sobre a Vercel confirmando a fuga de VM crítica e o pagamento de uma recompensa. Naquela ocasião, a notícia era a confirmação de um zero-day no KVM que permitia acesso root no host. Agora, temos os detalhes técnicos completos daquela vulnerabilidade específica.

A PwnEscape é a falha "Crítica" que a Vercel considerou como o relatório mais importante de seu programa de recompensas. O que era um fato com poucas informações, agora é um detalhe técnico com explicação da exploração no stack de rede do Linux e sua correção.

A PwnEscape é uma falha que ressoa profundamente no cenário de cibersegurança, especialmente em ambientes de nuvem e contêineres que dependem de isolamento robusto entre máquinas virtuais e seus hosts. O fato de a vulnerabilidade residir na pilha de rede do Linux e não no KVM, como se poderia esperar, amplia sua superfície de ataque e o número de sistemas potencialmente afetados.

Ela representa uma nova classe de ataques, onde metadados de checksum, supostamente inofensivos, podem ser usados para reescrever campos críticos do pacote após sua validação, subvertendo premissas fundamentais da arquitetura de rede. Para provedores de serviços e empresas, a correção imediata é vital para proteger a integridade de seus ambientes virtualizados e a confidencialidade dos dados dos clientes.