CVE-2026-53359 (Januscape) forklaret: Den 16 år gamle Linux KVM-bug, der lader gæster slippe ud

Her er en forenklet trin-for-trin-gennemgang af angrebet:

1. Udgangspunkt: En gæste-VM har en 2MB-sidetilknytning. KVM opretter en shadow page for denne tilknytning med rollen direct=1.
2. PDE-ændring: Angriberen, med root-adgang inde i gæsten, ændrer en page directory entry (PDE) til at pege på en ikke-bladside. Det betyder, at den nye tilknytning kræver en 4KB-side, som har rollen direct=0.
3. Rolle-mismatch: Når KVM's kvm_mmu_get_child_sp() leder efter en shadow page at genbruge, finder den den eksisterende, fordi GFN matcher. Den sammenligner dog ikke rollen direct. Den gamle shadow page med direct=1 blive forkert genbrugt i en kontekst, der nu kræver direct=0 .
4. Use-After-Free: Når denne forkert genbrugte shadow page senere bliver zappet (f.eks. efter at en memslot er slettet), bliver reverse-map (rmap)-indgangen ikke fjernet korrekt. Den frigjorte shadow pages sptep (shadow page table entry pointer) forbliver refereret under rmap-walks (f.eks. til dirty logging eller MMU notifier-invalidering), hvilket fører til en use-after-free-tilstand .

Konsekvenser og alvor: Fra VM-flugt til overtagelse af værten

Konsekvenserne af CVE-2026-53359 er alvorlige, især i cloud-miljøer med flere lejere.

• Korruption af værtens kerneminde og VM-flugt: En angriber med root-adgang i en gæste-VM kan korrumpere værtens kernel-shadow page-strukturer. Dette kan føre til en fuldstændig gæst-til-vært-flugt på både Intel VMX/EPT- og AMD SVM/NPT-systemer .
• Pålidelig Denial of Service (DoS): Sårbarheden kan pålideligt udløses til at forårsage en kernel-panik på værten, hvilket resulterer i et denial-of-service-angreb for alle andre lejeres VM'er på samme fysiske vært .
• Lokal rettighedsforhøjelse (LPE): På distributioner som Red Hat Enterprise Linux (RHEL), hvor /dev/kvm er verdensskrivbar (0666), kan en upriviligeret lokal bruger udnytte dette som en pålidelig vektor til lokal rettighedsforhøjelse .
• CVSS-score og klassificering:
  • CVSSv3-grundscore: 7.0 (Høj) tildelt af Amazon Web Services .
  • Red Hat-alvorlighed: Vigtig .
• Kendt udnyttelse: Januscape-udnyttelsen blev med succes brugt som en 0-day i Googles kvmCTF-konkurrence, en capture-the-flag-begivenhed fokuseret på KVM-sårbarheder .

Patches og faste versioner

Linux-kernel-fællesskabet reagerede hurtigt, da fejlen blev identificeret. En rettelse blev indarbejdet i mainline-kernen og tilbageført til stabile kerner, alle frigivet den 4. juli 2026 .

• Faste stabile kerneversioner: 7.1.3, 6.18.38, 6.12.95, 6.6.144 og 6.1.177 .
• Rettelsen: Rettelsen (mainline-commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb og dens tilbageførsler) styrker valideringslogikken i kvm_mmu_get_child_sp(). Den kræver nu, at både gæstens frame number og MMU-rollen matcher, før en shadow page genbruges, hvilket forhindrer den rolle-mismatch, der fører til use-after-free .
• Red Hat-sikkerhedsbulletin: Red Hat udsendte en sikkerhedsbulletin (RHSA-2026:13577), der vurderede problemet som Vigtigt og leverede opdaterede kernerpakker til RHEL 8 .

Midlertidige afhjælpninger

Selvom patching er den eneste komplette løsning, kan administratorer implementere midlertidige afhjælpninger for at reducere angrebsfladen:

1. Deaktiver nested virtualisering: På systemer, der ikke kræver nestede VM'er, fjerner deaktivering af nested virtualisering (EPT/NPT) angrebsvejen gennem shadow MMU's nested-paging-kode .
2. Begræns adgangen til /dev/kvm: For at forhindre upriviligeret lokal rettighedsforhøjelse skal du begrænse adgangen til KVM-enheden. Ændr tilladelserne med chmod 660 /dev/kvm, og tilføj kun betroede brugere til kvm-gruppen .

Tidslinje for offentliggørelse

• Opdagelse: Hyunwoo Kim (@v4bel) opdagede og rapporterede sårbarheden.
• Patch: 4. juli 2026.
• Offentliggørelse: Den fulde offentliggørelse blev postet til oss-security-mailinglisten den 6. juli 2026 sammen med et offentligt denial-of-service proof-of-concept .