Google zahlt 250.000 $ für Linux VM-Flucht-Schwachstelle

Google hat 250.000 US-Dollar für eine Sicherheitslücke im Linux-Kernel gezahlt, die es Gast-Virtual Machines (VMs) ermöglichte, Root-Zugriff auf Host-Systemen zu erlangen. Diese Schwachstelle war eine von zwei kritischen Lücken, die diese Woche für das Open-Source-Betriebssystem gemeldet wurden.

Die Schwachstelle, mit der Kennung CVE-2026-53359, befindet sich in KVM (Kernel-based Virtual Machine), einer Komponente, die in vielen Linux-Distributionen für die Virtualisierung integriert ist. Sie erlaubte es nicht vertrauenswürdigen VMs, wie sie beispielsweise in Cloud-Plattformen zur Isolierung von Benutzerinstanzen eingesetzt werden, aus ihrer zugewiesenen Umgebung auszubrechen und die Kontrolle über das Host-Betriebssystem zu erlangen.

Diese Art von "VM-Escape"-Schwachstelle stellt ein erhebliches Risiko für Cloud-Infrastrukturen und jedes System dar, das KVM zur Isolierung von virtuellen Maschinen nutzt. Der Exploit betraf KVM auf AMD- und Intel-Prozessoren und nutzte Fehler in den Gastkomponenten der virtuellen Maschine aus.

Berichten zufolge war die Schwachstelle 16 Jahre lang unentdeckt im Linux-Kernel vorhanden. Googles Zahlung erfolgte im Rahmen seines Bug-Bounty-Programms an den Forscher, der die Lücke entdeckte und verantwortungsvoll meldete.