CVE-2026-53359 (Januscape) forklaret: Den 16 år gamle Linux KVM-bug, der lader gæster slippe ud

CVE-2026-53359, med kælenavnet "Januscape", er en alvorlig use-after-free-sårbarhed i Linux-kernens KVM (Kernel-based Virtual Machine) x86 shadow MMU (Memory Management Unit). Sårbarheden gør det muligt for en angriber med root-adgang inde i en gæste-VM at korrumpere værtens kerneminde og potentielt bryde ud af VM-isolationen. Fejlen blev introduceret i kerneversion 2.6.36 (frigivet i august 2010) og forblev uopdaget i cirka 16 år, før den blev afsløret og rettet i juli 2026 .

Sådan fungerer fejlen: Role-mismatch i shadow MMU

Sårbarheden ligger i shadow MMU-koden, nærmere bestemt i funktionen kvm_mmu_get_child_sp(). Denne funktion er designet til at genbruge en eksisterende shadow page table entry (SPTE), når en gæst ændrer sine sidetabeller. Den kritiske fejl er, at funktionen kun validerer gæstens frame number (GFN), når den beslutter, om en shadow page skal genbruges, men den tjekker ikke MMU-rollen .

Her er en forenklet trin-for-trin-gennemgang af angrebet:

1. Udgangspunkt: En gæste-VM har en 2MB-sidetilknytning. KVM opretter en shadow page for denne tilknytning med rollen direct=1.
2. PDE-ændring: Angriberen, med root-adgang inde i gæsten, ændrer en page directory entry (PDE) til at pege på en ikke-bladside. Det betyder, at den nye tilknytning kræver en 4KB-side, som har rollen direct=0.
3. Rolle-mismatch: Når KVM's kvm_mmu_get_child_sp() leder efter en shadow page at genbruge, finder den den eksisterende, fordi GFN matcher. Den sammenligner dog ikke rollen direct. Den gamle shadow page med direct=1 blive forkert genbrugt i en kontekst, der nu kræver direct=0 .
4. Use-After-Free: Når denne forkert genbrugte shadow page senere bliver zappet (f.eks. efter at en memslot er slettet), bliver reverse-map (rmap)-indgangen ikke fjernet korrekt. Den frigjorte shadow pages sptep (shadow page table entry pointer) forbliver refereret under rmap-walks (f.eks. til dirty logging eller MMU notifier-invalidering), hvilket fører til en use-after-free-tilstand .

Konsekvenser og alvor: Fra VM-flugt til overtagelse af værten

Konsekvenserne af CVE-2026-53359 er alvorlige, især i cloud-miljøer med flere lejere.

• Korruption af værtens kerneminde og VM-flugt: En angriber med root-adgang i en gæste-VM kan korrumpere værtens kernel-shadow page-strukturer. Dette kan føre til en fuldstændig gæst-til-vært-flugt på både Intel VMX/EPT- og AMD SVM/NPT-systemer .
• Pålidelig Denial of Service (DoS): Sårbarheden kan pålideligt udløses til at forårsage en kernel-panik på værten, hvilket resulterer i et denial-of-service-angreb for alle andre lejeres VM'er på samme fysiske vært .
• Lokal rettighedsforhøjelse (LPE): På distributioner som Red Hat Enterprise Linux (RHEL), hvor /dev/kvm er verdensskrivbar (0666), kan en upriviligeret lokal bruger udnytte dette som en pålidelig vektor til lokal rettighedsforhøjelse .
• CVSS-score og klassificering:
  • CVSSv3-grundscore: 7.0 (Høj) tildelt af Amazon Web Services .
  • Red Hat-alvorlighed: Vigtig .
  • CWE-klassificering: CWE-825 (Expired Pointer Dereference) / CWE-416 (Use After Free) .
• Kendt udnyttelse: Januscape-udnyttelsen blev med succes brugt som en 0-day i Googles kvmCTF-konkurrence, en capture-the-flag-begivenhed fokuseret på KVM-sårbarheder .

Patches og faste versioner

Linux-kernel-fællesskabet reagerede hurtigt, da fejlen blev identificeret. En rettelse blev indarbejdet i mainline-kernen og tilbageført til stabile kerner, alle frigivet den 4. juli 2026 .

• Faste stabile kerneversioner: 7.1.3, 6.18.38, 6.12.95, 6.6.144 og 6.1.177 .
• Rettelsen: Rettelsen (mainline-commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb og dens tilbageførsler) styrker valideringslogikken i kvm_mmu_get_child_sp(). Den kræver nu, at både gæstens frame number og MMU-rollen matcher, før en shadow page genbruges, hvilket forhindrer den rolle-mismatch, der fører til use-after-free .
• Red Hat-sikkerhedsbulletin: Red Hat udsendte en sikkerhedsbulletin (RHSA-2026:13577), der vurderede problemet som Vigtigt og leverede opdaterede kernerpakker til RHEL 8 .

Midlertidige afhjælpninger

Selvom patching er den eneste komplette løsning, kan administratorer implementere midlertidige afhjælpninger for at reducere angrebsfladen:

1. Deaktiver nested virtualisering: På systemer, der ikke kræver nestede VM'er, fjerner deaktivering af nested virtualisering (EPT/NPT) angrebsvejen gennem shadow MMU's nested-paging-kode .
2. Begræns adgangen til /dev/kvm: For at forhindre upriviligeret lokal rettighedsforhøjelse skal du begrænse adgangen til KVM-enheden. Ændr tilladelserne med

   chmod 660 /dev/kvm

   , og tilføj kun betroede brugere til kvm-gruppen .

Tidslinje for offentliggørelse

• Opdagelse: Hyunwoo Kim (@v4bel) opdagede og rapporterede sårbarheden.
• Patch: 4. juli 2026.
• Offentliggørelse: Den fulde offentliggørelse blev postet til oss-security-mailinglisten den 6. juli 2026 sammen med et offentligt denial-of-service proof-of-concept .