CVE-2026-53359 (Januscape): 16 let stará chyba v Linux KVM umožňuje útěk z virtuálního stroje

Zjednodušený postup útoku krok za krokem:

1. Počáteční stav: Hostující VM má mapování stránky o velikosti 2 MB. KVM pro toto mapování vytvoří shadow page s rolí direct=1.
2. Modifikace PDE: Útočník s rootem uvnitř hosta změní položku adresáře stránek (PDE) tak, aby ukazovala na ne-listovou stránku. Nové mapování tedy vyžaduje stránku o velikosti 4 kB, která má roli direct=0.
3. Nesoulad rolí: Když kvm_mmu_get_child_sp() hledá shadow page k opětovnému použití, najde stávající shadow page, protože GFN souhlasí. Ale neporovná roli direct. Stará shadow page s direct=1 je tak chybně znovu použita v kontextu, který vyžaduje direct=0 .
4. Use-After-Free: Když je tato chybně znovu použitá shadow page později zrušena (např. po smazání memslotu), položka v reverse-map (rmap) není správně odstraněna. Ukazatel sptep uvolněné shadow page zůstává referencován během procházení rmap (např. pro dirty logging nebo invalidaci MMU notifier), což vede k use-after-free .

Dopad a závažnost: Od útěku z VM k ovládnutí hostitele

Důsledky CVE-2026-53359 jsou závažné, zejména v multi-tenant cloudových prostředích.

• Poškození paměti jádra hostitele a útěk z VM: Útočník s rootem v hostujícím VM může poškodit struktury shadow page jádra hostitele. To může vést k úplnému útěku z hostujícího na hostitelský systém na platformách Intel VMX/EPT i AMD SVM/NPT .
• Spolehlivé odmítnutí služby (DoS): Zranitelnost lze spolehlivě zneužít k vyvolání paniky jádra hostitele, což vede k odmítnutí služby pro všechny ostatní tenanty VM na stejném fyzickém hostiteli .
• Místní eskalace oprávnění (LPE): Na distribucích jako Red Hat Enterprise Linux (RHEL), kde je /dev/kvm přístupný všem uživatelům (práva 0666), může neprivilegovaný místní uživatel tuto chybu zneužít jako spolehlivý vektor pro eskalaci oprávnění .
• CVSS skóre a klasifikace:
  • CVSSv3 Base Score: 7.0 (High) přiděleno Amazon Web Services .
  • Red Hat Severity: Important .
• Známé zneužití: Exploit Januscape byl úspěšně použit jako 0-day v soutěži Google kvmCTF, která je zaměřena na hledání zranitelností v KVM .

Záplaty a opravené verze

Komunita vývojářů Linux kernelu reagovala rychle. Oprava byla zapsána do hlavní větve jádra a zpětně přenesena do stabilních verzí, všechny byly vydány 4. července 2026 .

• Opravené stabilní verze jádra: 7.1.3, 6.18.38, 6.12.95, 6.6.144 a 6.1.177 .
• Oprava (patch): Hlavní commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb a jeho backporty posilují validační logiku ve funkci kvm_mmu_get_child_sp(). Nyní vyžaduje jak číslo rámce hosta (GFN), tak shodu role MMU, aby mohla být shadow page znovu použita. Tím se zabrání nesouladu rolí, který vede k use-after-free .
• Red Hat Advisory: Red Hat vydal bezpečnostní doporučení (RHSA-2026:13577) s hodnocením závažnosti Important a poskytl aktualizované balíčky jádra pro RHEL 8 .

Dočasná zmírňující opatření

I když je aplikace záplaty jediným úplným řešením, správci mohou dočasně snížit plochu útoku:

1. Vypnutí Nested Virtualizace: Na systémech, které nevyžadují vnořené VM, vypněte nested virtualizaci (EPT/NPT). Tím se odstraní cesta útoku skrze kód shadow MMU pro nested paging .
2. Omezení přístupu k /dev/kvm: Pro zabránění místní eskalaci oprávnění omezte přístup k zařízení KVM. Změňte oprávnění pomocí chmod 660 /dev/kvm a přidejte do skupiny kvm pouze důvěryhodné uživatele .

Časová osa zveřejnění

• Objevení: Hyunwoo Kim (@v4bel) objevil a nahlásil zranitelnost.
• Záplata: 4. července 2026.
• Veřejné zveřejnění: Úplné podrobnosti byly zveřejněny na mailing listu oss-security 6. července 2026 spolu s veřejným proof-of-concept pro odmítnutí služby .