Проект Debian опубликовал предупреждение о критической уязвимости в ядре Linux с идентификатором CVE-2026-99999. Проблема получила оценку 9,3 балла по шкале CVSS 3.1 и связана с некорректной обработкой метаданных контрольных сумм IPv4 в сетевом стеке.
Злоумышленники могут использовать этот дефект для преодоления изоляции виртуальных машин. Манипуляции с метаданными checksum_start позволяют исказить восприятие размера заголовка IPv4, что открывает доступ к памяти хоста и возможность выполнения произвольного кода.
Уязвимость представляет особую угрозу для облачных провайдеров, мультиарендных сред и платформ виртуализации, таких как KVM. Ошибка кроется не в самом гипервизоре, а в логике обработки сетевых пакетов ядром Linux.
Разработчики выпустили исправление с идентификатором 6785011f8b16 под названием 'ipv4: validate checksum_start before completing checksum'. Уязвимость устранена в версиях ядра Linux 6.12.113, 6.18.57, 7.2.11 и 7.3-rc7.
Организациям, использующим виртуализацию, облачные хостинги или контейнерные песочницы, рекомендуется обновить ядро до актуальных версий. Это касается пользователей дистрибутивов Debian, Ubuntu, RHEL и образов публичных облаков.
