CVE-2026-99999 — PwnEscape: पहचान और शमन

एक व्यावहारिक स्पेनिश गाइड, यह जानने के लिए कि कोई Linux सर्वर CVE-2026-99999 ("PwnEscape") के प्रति उजागर है या नहीं, और इसे कैसे कम किया जाए। इसमें एक स्क्रिप्ट शामिल है जो मशीन की जाँच करती है और कारण के साथ एक निर्णय देती है।

📋 सारांश

फ़ील्ड	मान
CVE	CVE-2026-99999
नाम	PwnEscape
घटक	Linux कर्नेल, IPv4 चेकसम प्रोसेसिंग (`skb_checksum_help()`)
गंभीरता	CVSS 3.1 9.3 (गंभीर) — `AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`
प्रभाव	एक दुर्भावनापूर्ण VM होस्ट की मेमोरी पढ़ सकता है, उसे क्रैश कर सकता है और, प्रयोगशाला में, root के साथ नियंत्रण प्राप्त कर सकता है
वेक्टर	स्थानीय: हमलावर को एक VM के अंदर कोड निष्पादित करने की आवश्यकता होती है
खोजकर्ता	Paulos Yibelo (pwn.ai), Vercel के Sandbox Challenge के दौरान
प्रकाशित	15 अक्टूबर 2026
अपस्ट्रीम फ़िक्स	कमिट `6785011f8b16` (Michael S. Tsirkin, Red Hat)
सक्रिय शोषण	रिपोर्ट नहीं किया गया · CISA के KEV कैटलॉग में नहीं है

🧠 यह क्या है? (सरल भाषा में)

एक अपार्टमेंट बिल्डिंग की कल्पना करें:

बिल्डिंग भौतिक सर्वर है, होस्ट।
प्रत्येक अपार्टमेंट एक वर्चुअल मशीन (VM) है।
PwnEscape बिल्डिंग की दीवारों में एक खामी है: एक अपार्टमेंट से, एक दुर्भावनापूर्ण किरायेदार बिल्डिंग के प्रशासन की जासूसी कर सकता है या उसमें घुस सकता है।

┌──────────────────────────────────────┐
│  HOST (servidor físico + hipervisor) │  ← aquí está la falla
│  Linux con KVM / QEMU / Firecracker  │
│                                      │
│   ┌─────────┐ ┌─────────┐ ┌────────┐ │
│   │  VM  A  │ │  VM  B  │ │  VM  C │ │
│   │         │ │(atacante)│ │        │ │
│   └─────────┘ └─────────┘ └────────┘ │
└──────────────────────────────────────┘

यह कमी होस्ट में है, VMs में नहीं। इसलिए:

✅ यदि आपका सर्वर एक VPS या VM है (DigitalOcean, AWS, Hetzner, Proxmox, आदि), तो आप लक्ष्य नहीं हैं। जिसे पैच करना चाहिए वह आपका प्रदाता या होस्ट का प्रशासक है।
⚠️ यदि आपका सर्वर VMs होस्ट करता है (Proxmox, KVM/libvirt, OpenStack, Firecracker), तो आप लक्ष्य हैं, विशेष रूप से यदि आप तृतीय-पक्ष या अविश्वसनीय कोड की VMs चलाते हैं।

🔬 यह कैसे काम करता है? (तकनीकी स्तर)

Linux नेटवर्क पैकेट्स को मेटाडेटा ले जाने की अनुमति देता है जो बताता है चेकसम कहाँ शुरू होता है और उसका परिणाम कहाँ लिखा जाता है। यह checksum offloading के लिए एक वैध अनुकूलन है।

समस्या संचालनों के क्रम में है:

कर्नेल VM से एक सामान्य IPv4 हेडर (IHL = 20 बाइट्स) वाला पैकेट प्राप्त करता है और उसे मान्य करता है।
इसके बाद, VM द्वारा भेजे गए मेटाडेटा द्वारा नियंत्रित एक विलंबित चेकसम संचालन, उसी पहले से मान्य किए गए हेडर को फिर से लिखता है और उसे IHL = 60 बाइट्स में बदल देता है।
विखंडन तर्क नए मान पर भरोसा करता है और पैकेट में वास्तव में जितना डेटा है उससे अधिक कॉपी करता है।
वे अतिरिक्त बाइट्स होस्ट की मेमोरी हैं (परीक्षण में प्रति पैकेट 32 बाइट्स), और हमले को दोहराया जा सकता है।

यह फिक्स सत्यापित करता है कि चेकसम का प्रारंभ पहले से संसाधित IPv4 हेडर के भीतर इंगित नहीं कर सकता। इसे पाँच प्रभावित नेटवर्क मार्गों पर लागू किया गया है।

कमजोर कोड कर्नेल 2.6.27 (2008) से मौजूद है।

📦 ठीक किए गए संस्करण

शाखा	पहला ठीक किया गया संस्करण
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.57
7.2	7.2.11
Mainline	7.3-rc7

⚠️ Ubuntu, RHEL/Rocky/Alma, SUSE और Proxmox अपनी स्वयं की संख्या प्रणाली का उपयोग करते हैं (उदाहरण के लिए 5.15.0-125-generic या 5.14.0-503.el9)। उन डिस्ट्रोस में संस्करण अपने आप में कुछ नहीं बताता: डिस्ट्रो के सुरक्षा सूचना या कर्नेल के changelog की जाँच करनी होगी।

इस सूची से बाहर की शाखाओं (6.8, 6.19, 7.0, 7.1…) का अब upstream समर्थन नहीं है और उन्हें फिक्स प्राप्त नहीं हुआ।

🔍 क्या मैं प्रभावित हूँ?

विकल्प A — स्वचालित स्क्रिप्ट (अनुशंसित)

curl -O https://raw.githubusercontent.com/alvaroguzmancode/CVE-2026-99999/refs/heads/main/check-pwnescape.sh
sudo bash check-pwnescape.sh

स्क्रिप्ट तीन चीज़ों की जाँच करता है:

मशीन की भूमिका: क्या यह एक VM है, क्या यह VMs होस्ट करता है, या क्या यह उन्हें होस्ट कर सकता है लेकिन आज ऐसा नहीं करता।
पैच: kernel के changelog में CVE खोजता है और सुधरे हुए संस्करणों से तुलना करता है।
लंबित रीबूट: यदि कोई नया kernel इंस्टॉल है जो अभी तक सक्रिय नहीं है।

एक VPS पर आउटपुट का उदाहरण:

== VEREDICTO ==
  Rol:    Este equipo ES una máquina virtual; no hospeda otras VMs.
  Kernel: VULNERABLE — la versión del kernel es anterior a la corregida.

  NO EXPUESTO DIRECTAMENTE.
  La falla solo se explota desde una VM hacia el servidor que la hospeda.
  Este equipo no hospeda VMs, así que no hay a quién atacar desde aquí.

  Ojo: el que SÍ debe estar parchado es el host que aloja esta VM
  (tu proveedor de nube o tu servidor Proxmox/KVM). Confírmalo con ellos.

निकास कोड	अर्थ
`0`	भेद्य नहीं या उजागर नहीं
`1`	भेद्य
`2`	पुष्टि नहीं हो सकी, मैन्युअल रूप से जाँचना आवश्यक है

विकल्प B — मैन्युअल समीक्षा

1. क्या मैं VM हूँ या host हूँ?

systemd-detect-virt                     # "kvm", "xen", etc. = eres una VM; "none" = físico
pgrep -a qemu-ga                        # si aparece, eres una VM (QEMU Guest Agent)
lsmod | grep -E 'kvm|vhost'             # módulos de virtualización cargados
cat /sys/module/kvm_intel/refcnt 2>/dev/null || cat /sys/module/kvm_amd/refcnt   # >0 = hay VMs usando KVM
virsh list --all 2>/dev/null            # VMs de libvirt
pgrep -a '^(qemu-system|firecracker)'   # VMs / microVMs corriendo

2. क्या मेरे kernel में पैच है?

uname -r

# Debian / Ubuntu
zgrep -i "CVE-2026-99999" /usr/share/doc/linux-image-$(uname -r)/changelog.Debian.gz

# RHEL / Rocky / Alma / Fedora
rpm -q --changelog kernel-core-$(uname -r) | grep -i "CVE-2026-99999"

3. क्या पुनः आरंभ करना बाकी है?

[ -f /var/run/reboot-required ] && echo "Falta reiniciar"   # Debian / Ubuntu
needs-restarting -r                                          # RHEL

🛡️ शमन

1. होस्ट कर्नेल को अपडेट करें (वास्तविक समाधान)

# Debian / Ubuntu / Proxmox
sudo apt update && sudo apt full-upgrade

# RHEL / Rocky / Alma / Fedora
sudo dnf update kernel

कर्नेल अनुरक्षक आपकी डिस्ट्रो की पूर्ण स्थिर रिलीज़ स्थापित करने की सलाह देते हैं, न कि अलग कमिट लागू करने की।

2. पुनः आरंभ करें और सत्यापित करें

sudo reboot
# después:
uname -r
sudo bash check-pwnescape.sh

पैकेज इंस्टॉल करना पर्याप्त नहीं है: नया kernel केवल रीबूट के बाद ही उपयोग में आता है। क्लस्टर में, प्रत्येक हाइपरवाइज़र की जाँच करें।

3. केवल VMs को पैच करना काम नहीं करता

VMs के अंदर kernel अपडेट करने से जोखिम समाप्त नहीं होता, क्योंकि खराबी होस्ट में है। यदि आप किसी VPS के ग्राहक हैं, तो अपने प्रदाता से पुष्टि करें कि उसने अपने होस्ट पैच कर लिए हैं।

4. यदि आप KVM का उपयोग नहीं करते तो उसे अनलोड करें

यदि मशीन पर KVM लोड है लेकिन VMs होस्ट नहीं करती, तो आप सतह कम कर सकते हैं:

sudo modprobe -r kvm_intel kvm_amd kvm 2>/dev/null
echo -e "blacklist kvm_intel\nblacklist kvm_amd\nblacklist kvm" | sudo tee /etc/modprobe.d/no-kvm.conf

5. गहराई में रक्षा (जब तक पैच करें)

ये उपाय खामी को ठीक नहीं करते, लेकिन उस नुकसान को सीमित करते हैं जो एक VM से बच निकलने वाला हमलावर कर सकता है:

CVE-2026-99999

सबसे लोकप्रिय