CVE-2026-99999

PwnEscape - Linux IPv4 checksum 元数据校验缺失，可导致宿主机内存泄露、崩溃；研究方在自有环境展示了 guest-to-host 代码执行
漏洞位于宿主机网络栈，KVM / Firecracker 是公开研究涉及的虚拟化场景
CVE 记录公开：2026-10-15；资料核对：2026-10-19
上游根因引入版本：Linux 2.6.27
严重性：CVSS 3.1 9.3 Critical（Linux CNA）
- CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Red Hat 暂定为 8.8 Important，向量中的 PR:L 与 CNA 的 PR:N 不同，评分状态为 draft
- Red Hat 映射为 CWE-787；所核对的 Linux CNA JSON 没有 problemTypes 字段

成因与利用条件

CHECKSUM_PARTIAL 允许推迟 checksum 计算，csum_start、csum_offset 指定后续 checksum 写入位置
不受信任的虚拟网卡元数据进入宿主机后，可能在 IPv4 头已经解析、路由之后，由 skb_checksum_help() 改写该头
ip_do_fragment() 等后续处理继续信任变化后的头长度，可能把 skb 有效逻辑数据之外的宿主机内存带入发出的 IPv4 options
研究方的初始示例把 IHL 从 5 改成 15，即头长度从 20 字节变成 60 字节；线性包数据为 28 字节，产生 32 字节泄露
- 越界相对于 skb 的有效逻辑数据，不一定越过整个物理分配或 slab 对象
- 32 字节是该示例的结果，不是所有配置下的固定泄露量
CNA 的 microVM 攻击场景需要 guest 控制的 checksum 元数据经 virtio-net / VMM / TAP 进入宿主机 IPv4 路径
- AV:L 表示 guest/local 虚拟设备路径，不是普通互联网收包攻击面
- PR:N 指该场景不需要宿主机凭据、capability 或直接访问宿主机 /dev/net/tun；VMM 转发 guest 输出到已有 TAP fd
- guest 内能否产生这些元数据、宿主机是否走相关分片或 checksum 路径，仍受具体 VMM 和网络配置限制
TUN / AF_PACKET 的其他本地路径也出现在补丁背景中，其权限条件不能直接套用上述 microVM 场景

text

guest 帧 + checksum 元数据
  → VMM / TAP
  → 宿主机 IPv4 解析、路由
  → 延迟 checksum 写入覆盖 IPv4 头
  → 分片逻辑使用变化后的 IHL
  → 宿主机内存进入发送数据

影响与演示范围

能力	公开证据
宿主机内存泄露	Vercel 表示已在生产 Sandbox 中展示，可持续通过 guest 发出的包观察
宿主机崩溃	Vercel 表示研究者在自有、配置匹配的 KVM / Firecracker 环境展示
宿主机管理员权限代码执行	同上；研究方称自建 KVM 利用链实现选定的内核写入和 host-root helper 执行
厂商生产环境中的 root 命令执行	研究方明确不作此声明，不能从生产信息泄露推导

研究演示、公开代码和在野攻击是不同证据
不能仅根据使用 KVM、Firecracker、容器或旧版 Linux 就认定实际可利用
Vercel 的公告没有报告客户文件、secret 或应用数据被访问；这一声明不消除宿主机内存泄露的技术影响

修复与缓解

上游分支	Linux CNA 列出的首个修复版本	修复 commit
5.10	`5.10.272`	`a464d950f31c89565cbaae038cc60db04fe01956`
5.15	`5.15.223`	`0fab003ef4698e0628060a45a48f14b43ba2a40a`
6.1	`6.1.190`	`94524b7b32691de2e2ce162c04d6cbc9106e5cbf`
6.6	`6.6.159`	`a65f69e0f38ffbed1b128029e09097436416dc8b`
6.12	`6.12.113`	`32a8b0adaa18e52aaa0b246b5ffe683075354dbb`
6.18	`6.18.57`	`f3e835af6226f1dd12160cbd696081e9b6155de0`
7.2	`7.2.11`	`c3e33464746166264334641dc850a36eef7e6326`
主线	`7.3-rc7`	`6785011f8b16abf40b1e9d8b2e332232b3e68822`

根因引入 commit：f43798c27684ab925adde7d8acc34c78c6e50df8
主线修复 ipv4: validate checksum_start before completing checksum 新增 ip_check_csum_start()
- 检查 csum_start >= network_header + ip_hdrlen(skb)，异常时拒绝后续 checksum 完成
- helper 位于 include/net/ip.h，五个 consumer 涉及 IPv4 分片、bridge/netfilter、NFQUEUE、xt_CHECKSUM 和 XFRM，共六个源码文件
- 补丁明确为 defense in depth，入口侧更完整的元数据校验仍需后续工作；不能据此宣称所有协议字段的延迟改写问题均已解决
优先升级并运行供应商支持的已修复宿主机内核；只升级 guest 内核不能证明宿主机修复
- RC 版本用于定位主线修复进入点，不作为通用生产升级建议
- 未列出的旧分支和发行版回补需另查维护者，不能把 7.3-rc7 当成所有分支的统一阈值
- 安装新内核后仍需按平台流程切换运行内核，或确认供应商 livepatch 明确覆盖此 CVE
Red Hat 2026-10-19 快照将 RHEL 6–10 的 kernel、部分 kernel-rt、NVIDIA 26 和 OpenShift 4 相关内核条目标记为 Affected
- 所读记录未提供修复包版本或 errata，不能扩大为所有渠道均无补丁
Ubuntu 默认 linux 在 26.04、24.04、22.04、20.04、18.04、16.04、14.04 LTS 的所读条目为 Needs evaluation
- 仅表示待评估，不等于已确认受影响、未受影响或已修复；其他 kernel flavor 单独查询
限制不受信任 guest 或在入口拒绝异常元数据可作为平台排查方向；尚无在此确认的跨 VMM 通用 offload workaround

PoC

PeronGH/CVE-2026-99999
- Go / TAP 探测示例；已静态核对 poc.go，固定 commit b9ebe258f01036c55c5f3722de950bb978b31856
- 代码检查 root、打开准备好的 TAP、设置 checksum 元数据，检查头部变化和泄露现象
- README 声称在 6.18.54 复现、6.18.57 修复；这些是项目声明，尚未运行验证
- 会向 TAP 写入特制流量，不能当作普通生产健康检查；该示例不证明完整宿主机 RCE
01luyicheng/CVE-2026-99999
- 所读 Python 脚本的固定 commit 为 ece239aa222e1df8d9cfe02c76faf826fe8efff4
- 部分逻辑标为 simulated，发包使用 AF_INET/SOCK_RAW，所读代码未见 TAP / virtio checksum 元数据设置；不足以证明能触发该漏洞路径
PWNAI Part 1 公开了机制、补丁和实验声明，将完整内核写入及宿主控制链路留待后续文章；技术叙述不能当作可运行的完整 exploit
PoC 聚合索引还混有审计、eBPF 防护及 livepatch 项目，命中编号不代表存在新的有效 exploit
以上只做资料和代码静态阅读，没有编译、运行 PoC、启动漏洞环境或发送漏洞验证报文

利用情报

核对日期：2026-10-19；不同来源和数据日期分别保留。

来源	快照结果	边界
FIRST EPSS	数据日期 `2026-10-18`，`epss=0.002110000`（0.211%），`percentile=0.106460000`（约第 10.646 百分位）	未来 30 天利用概率预测，不确认或否定已经发生的利用
CISA ADP SSVC	`2026-10-16T15:49:03.519458Z`：`Exploitation=none`、`Automatable=no`、`Technical Impact=total`	特定日期分类，不是实时攻击监测
CISA KEV 官方镜像	`catalogVersion=2026.10.16`，完整 1,748 条记录中未精确命中	只覆盖该镜像快照，不等于截至查询时绝对未收录或没有在野利用
Red Hat	明文称 `Red Hat tracks this flaw as a KEV active-exploit case.`	与所查 CISA 镜像不一致；原因及 CISA 收录日期尚未核实