Golem berichtet über eine Linux-Schwachstelle, die als PwnEscape bezeichnet wird und es einem Angreifer innerhalb einer virtuellen Maschine ermöglicht, zum Host-System zu gelangen.
Virtuelle Maschinen sind die zentrale Isolationsgrenze moderner Infrastruktur: Public Clouds, CI/CD-Runner und gehostete Cluster verlassen sich darauf, dass der Hypervisor die Arbeitslasten eines Mieters von denen eines anderen fernhält. Fällt diese Annahme, erhält alles, was Code in einem kompromittierten Gast ausführen kann, einen Weg zum Host — und damit zu jedem weiteren Gast auf derselben Maschine.
Für Betreiber ist zuerst die Betroffenheit relevant: welche Kernel-Versionen betroffen sind, ob Angriffskode im Umlauf ist und welche Distributionen Korrekturen schon ausgeliefert haben. Die technischen Details stehen bei Golem; Verantwortliche für Multi-Tenant-Hosts sollten das als Anlass nehmen, ihren Patchstand jetzt zu prüfen und nicht beim nächsten Wartungsfenster.
VM-Escape-Lücken sind selten im Vergleich zu normalen Privilegierungsfehlern, weil sie zwei Grenzen statt einer überwinden müssen — Gast zu Hypervisor, nicht nur Nutzer zu Root. Diese Seltenheit ist genau der Grund, warum jede neue erwähnenswert ist.
