ثغرة CVE-2026-53359 (Januscape) تهدد أمن الحوسبة السحابية: هروب من الأجهزة الافتراضية عبر ثغرة عمرها 16 عامًا

آلية عمل الثغرة: عدم تطابق دور MMU

تتمركز الثغرة في مسار كود shadow MMU، وتحديدًا في الدالة kvm_mmu_get_child_sp(). صُممت هذه الدالة لإعادة استخدام إدخال موجود في جدول صفحة الظل (SPTE) عندما يقوم الجهاز الضيف بتعديل جداول الصفحات الخاصة به. الخلل الحرج هو أن الدالة تتحقق فقط من رقم إطار الجهاز الضيف (GFN) عند اتخاذ قرار إعادة استخدام صفحة الظل، لكنها لا تتحقق من دور MMU .

إليك تحليل مبسط خطوة بخطوة للهجوم:

1. الحالة الأولية: يقوم الجهاز الضيف بتعيين صفحة بحجم 2 ميغابايت. يقوم KVM بإنشاء صفحة ظل لهذا التعيين مع دور direct=1.
2. تعديل PDE: المهاجم، بصلاحيات الجذر داخل الجهاز الضيف، يغير إدخال دليل الصفحة (PDE) ليشير إلى صفحة غير طرفية (non-leaf page). هذا يعني أن التعيين الجديد يتطلب صفحة بحجم 4 كيلوبايت، والتي لها دور direct=0.
3. عدم تطابق الدور: عندما تبحث kvm_mmu_get_child_sp() عن صفحة ظل لإعادة استخدامها، تجد صفحة الظل الموجودة لأن رقم GFN متطابق. ومع ذلك، فإنها تفشل في مقارنة دور direct. يتم إعادة استخدام صفحة الظل القديمة ذات direct=1 بشكل غير صحيح في سياق يتطلب الآن direct=0 .
4. الاستخدام بعد التحرير: عندما يتم حذف صفحة الظل هذه المعاد استخدامها بشكل غير صحيح لاحقًا (على سبيل المثال، بعد حذف memslot)، لا يتم إزالة إدخال الخريطة العكسية (rmap) بشكل صحيح. يظل مؤشر sptep لصفحة الظل المحررة مشارًا إليه أثناء عمليات التنقل عبر rmap (مثل تسجيل الأوساخ أو إبطال MMU notifier)، مما يؤدي إلى حدوث حالة use-after-free .

التأثير والخطورة: من هروب الجهاز الضيف إلى السيطرة على المضيف

عواقب CVE-2026-53359 وخيمة، خاصة في بيئات السحابة متعددة المستأجرين.

• إفساد ذاكرة نواة المضيف والهروب من الجهاز الضيف: يمكن للمهاجم بصلاحيات الجذر في جهاز افتراضي ضيف إفساد هياكل صفحات الظل لنواة المضيف. يمكن أن يؤدي هذا إلى هروب كامل من الجهاز الضيف إلى المضيف على كل من أنظمة Intel VMX/EPT و AMD SVM/NPT .
• تعطيل الخدمة الموثوق (DoS): يمكن تشغيل الثغرة بشكل موثوق للتسبب في ذعر نواة المضيف، مما يؤدي إلى تعطيل الخدمة لجميع الأجهزة الافتراضية المستأجرة المشاركة على نفس المضيف الفعلي .
• تصعيد الصلاحيات المحلي (LPE): على توزيعات مثل Red Hat Enterprise Linux (RHEL) حيث يكون /dev/kvm قابلاً للكتابة للجميع (0666)، يمكن لمستخدم محلي غير مميز استغلال هذا كوسيلة موثوقة لتصعيد الصلاحيات محليًا .
• درجة CVSS والتصنيف:
  • درجة CVSSv3 الأساسية: 7.0 (عالية) منحت من قبل Amazon Web Services .
  • خطورة Red Hat: مهمة .
• استغلال معروف: تم استخدام استغلال Januscape بنجاح كثغرة من نوع 0-day في مسابقة kvmCTF من Google، وهي مسابقة من نوع capture-the-flag تركز على ثغرات KVM .

التصحيحات والإصدارات المُصلحة

تفاعل مجتمع نواة لينكس بسرعة بمجرد تحديد الثغرة. تم إدراج إصلاح في النواة الرئيسية وتم تفرعه إلى النوى المستقرة، وكلها صدرت في 4 يوليو 2026 .

• إصدارات النواة المستقرة المُصلحة: 7.1.3, 6.18.38, 6.12.95, 6.6.144, و 6.1.177 .
• التصحيح: يعزز الإصلاح (الالتزام الرئيسي 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb وتفرعاته) منطق التحقق في kvm_mmu_get_child_sp(). يتطلب الآن كلاً من رقم إطار الجهاز الضيف و دور MMU للتطابق قبل إعادة استخدام صفحة الظل، مما يمنع عدم تطابق الدور الذي يؤدي إلى use-after-free .
• تنبيه Red Hat: أصدرت Red Hat تنبيهًا أمنيًا (RHSA-2026:13577) صنفت فيه المشكلة على أنها مهمة ووفرت حزم نواة محدثة لـ RHEL 8 .

إجراءات التخفيف المؤقتة

في حين أن تطبيق التصحيح هو الحل الكامل الوحيد، يمكن للمسؤولين تنفيذ إجراءات تخفيف مؤقتة لتقليل سطح الهجوم:

1. تعطيل المحاكاة الافتراضية المتداخلة (Nested Virtualization): على الأنظمة التي لا تتطلب أجهزة افتراضية متداخلة، يؤدي تعطيل المحاكاة الافتراضية المتداخلة (EPT/NPT) إلى إزالة مسار الهجوم عبر كود الترحيل المتداخل لـ shadow MMU .
2. تقييد الوصول إلى /dev/kvm: لمنع تصعيد الصلاحيات المحلي للمستخدمين غير المميزين، قم بتقييد الوصول إلى جهاز KVM. غيّر الأذونات باستخدام chmod 660 /dev/kvm وأضف المستخدمين الموثوق بهم فقط إلى مجموعة kvm .

الجدول الزمني للإفصاح

• الاكتشاف: قام Hyunwoo Kim (@v4bel) باكتشاف الثغرة والإبلاغ عنها.
• التصحيح: 4 يوليو 2026.
• الإفصاح العام: تم نشر الإفصاح الكامل على القائمة البريدية oss-security في 6 يوليو 2026، إلى جانب إثبات مفهوم عام لهجمات تعطيل الخدمة .