Bulletin-ID: 2026-137-AWS
Bereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 15.10.2026 10:30 Uhr PDT

Beschreibung:

AWS ist sich eines Problems im virtio-net/TAP-Netzwerkpfad (CVE-2026-99999) des Linux-Kernels bewusst, das KVM-basierte Hypervisoren betrifft, auf denen ungepatchte Linux-Kernel-Versionen 4.4 bis 6.18 ausgeführt werden. Dieses Problem könnte es einem Akteur mit privilegiertem Zugriff auf eine virtuelle Gastmaschine ermöglichen, speziell gestaltete Netzwerkpakete zu senden, die den Host-Kernel-Speicher beschädigen, was zur Offenlegung des Host-Speichers oder zu einem Denial-of-Service führen könnte.

Von AWS verwaltete Datenverarbeitungs- und Containerdienste, einschließlich Amazon-EC2-Instances, AWS Lambda und AWS Fargate, sind nicht betroffen. Für Kunden, die diese Services nutzen, sind keine Maßnahmen erforderlich.

Betroffene Produkte und Versionen:

Kunden, die virtuelle Maschinen mithilfe von virtio-net und KVM selbst verwalten, einschließlich solcher, die Monitore für virtuelle Maschinen wie Firecracker verwenden, auf Hosts, auf denen betroffene, ungepatchte Linux-Kernel-Versionen ausgeführt werden.

Lösung:

Amazon Linux hat aktualisierte Kernel-Pakete veröffentlicht, die dieses Problem beheben. Einzelheiten finden Sie in der Amazon-Linux-Sicherheitsempfehlung. Die folgenden Kernel-Versionen (oder höher) enthalten den Fix:

• Amazon Linux 2:
  - kernel-4.14.355-287.750.amzn2 (ALAS2-2026-3962)
  - kernel-5.4.302-229.494.amzn2 (ALAS2KERNEL-5.4-2026-131)
  - kernel-5.10.269-270.1108.amzn2 (ALAS2KERNEL-5.10-2026-133)
  - kernel-5.15.220-156.256.amzn2 (ALAS2KERNEL-5.15-2026-117)
• Amazon Linux 2023:
  - kernel-6.1.188-233.385.amzn2023 (ALAS2023-2026-3197)
  - kernel6.12-6.12.110-135.201.amzn2023 (ALAS2023-2026-3196)
  - kernel6.18-6.18.51-120.162.amzn2023 (ALAS2023-2026-3192)

AWS empfiehlt Kunden, die virtuelle Maschinen mithilfe von virtio-net und KVM auf Amazon Linux selbst verwalten, die aktualisierten Kernelpakete auf ihre Hostsysteme anzuwenden und neu zu starten. Eine Anleitung zur Aktualisierung von Amazon Linux 2023 finden Sie unter Paket- und Betriebssystemupdates in AL2023 verwalten. Anleitungen zur Aktualisierung von Amazon Linux 2 finden Sie unter Instance-Software auf Ihrer AL2-Instance aktualisieren. Kunden, die andere Linux-Distributionen verwenden, sollten Kernel-Updates von ihrem Betriebssystemanbieter installieren.

Problemumgehungen:

Für dieses Problem gibt es keine Problemumgehungen. Um dieses Problem zu beheben, wenden Sie die oben aufgeführten aktualisierten Kernelpakete an.

Referenzen:

• CVE-2026-99999

Danksagung:

Wir möchten Paulos Yibelo von pwn.ai für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Offenlegungsprozesses danken.

Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .