CVE-2026-53359 (Januscape): El fallo de 16 años en KVM de Linux que permite escapar de la máquina virtual

CVE-2026-53359, apodado "Januscape", es una vulnerabilidad de Use-After-Free de alta gravedad en el shadow MMU (Unidad de Gestión de Memoria) de KVM (Máquina Virtual Basada en Kernel) para x86 del kernel de Linux. Permite a un atacante con acceso root dentro de una máquina virtual (VM) invitada corromper la memoria del kernel anfitrión, pudiendo escapar del aislamiento de la VM. El error se introdujo en la versión 2.6.36 del kernel (publicada en agosto de 2010) y permaneció sin descubrir durante aproximadamente 16 años, hasta que fue revelado y parcheado en julio de 2026 .

Cómo funciona el fallo: el desajuste de rol en el Shadow MMU

La vulnerabilidad se encuentra en la ruta de código del shadow MMU, específicamente en la función kvm_mmu_get_child_sp(). Esta función está diseñada para reutilizar una entrada de tabla de página sombra (SPTE) existente cuando un invitado modifica sus tablas de página. El fallo crítico es que la función solo valida el número de marco de página del invitado (GFN) al decidir si reutilizar una página sombra, pero no verifica el rol de la MMU .

Aquí hay un desglose simplificado paso a paso del ataque:

1. Estado inicial: Una VM invitada tiene un mapeo de página de 2MB. KVM crea una página sombra para este mapeo con un rol direct=1.
2. Modificación del PDE: El atacante, con acceso root dentro del invitado, cambia una entrada del directorio de páginas (PDE) para que apunte a una página no hoja. Esto significa que el nuevo mapeo requiere una página de 4KB, que tiene un rol direct=0.
3. Desajuste de rol: Cuando kvm_mmu_get_child_sp() de KVM busca una página sombra para reutilizar, encuentra la página sombra existente porque el GFN coincide. Sin embargo, falla al comparar el rol direct. La página sombra antigua con direct=1 se reutiliza incorrectamente para un contexto que ahora requiere direct=0 .
4. Use-After-Free: Cuando esta página sombra reutilizada incorrectamente se elimina posteriormente (por ejemplo, después de borrar un memslot), la entrada del mapa inverso (rmap) no se elimina correctamente. El sptep (puntero de entrada de tabla de página sombra) de la página sombra liberada permanece referenciado durante los recorridos de rmap (como para el registro sucio o la invalidación del notificador MMU), lo que lleva a una condición de Use-After-Free .

Impacto y gravedad: del escape de la VM a la toma del control del anfitrión

Las consecuencias de CVE-2026-53359 son graves, especialmente en entornos cloud multiinquilino.

• Corrupción de la memoria del kernel anfitrión y escape de la VM: Un atacante con root en una VM invitada puede corromper las estructuras de páginas sombra del kernel anfitrión. Esto puede llevar a un escape completo de la VM al anfitrión en sistemas Intel VMX/EPT y AMD SVM/NPT .
• Denegación de servicio (DoS) fiable: La vulnerabilidad se puede activar de forma fiable para causar un pánico del kernel anfitrión, resultando en una denegación de servicio para todas las VMs inquilinas ubicadas en el mismo anfitrión físico .
• Escalada de privilegios local (LPE): En distribuciones como Red Hat Enterprise Linux (RHEL) donde /dev/kvm tiene permisos de escritura mundial (0666), un usuario local no privilegiado puede explotar esto como un vector fiable de escalada de privilegios local .
• Puntuación CVSS y clasificación:
  • Puntuación Base CVSSv3: 7.0 (Alta) asignada por Amazon Web Services .
  • Gravedad Red Hat: Importante .
  • Clasificación CWE: CWE-825 (Desreferencia de Puntero Expirado) / CWE-416 (Use After Free) .
• Explotación conocida: El exploit Januscape se utilizó con éxito como un día cero en el concurso kvmCTF de Google, un evento de captura de bandera centrado en vulnerabilidades de KVM .

Parches y versiones corregidas

La comunidad del kernel de Linux reaccionó rápidamente una vez identificado el fallo. Se confirmó una corrección en el kernel principal y se retroportó a los kernels estables, todos publicados el 4 de julio de 2026 .

• Versiones de kernel estables corregidas: 7.1.3, 6.18.38, 6.12.95, 6.6.144 y 6.1.177 .
• El parche: La corrección (commit principal 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb y sus retroportes) fortalece la lógica de validación en kvm_mmu_get_child_sp(). Ahora requiere que tanto el número de marco de página del invitado como el rol de la MMU coincidan antes de reutilizar una página sombra, evitando el desajuste de rol que lleva al Use-After-Free .
• Aviso de Red Hat: Red Hat emitió un aviso de seguridad (RHSA-2026:13577) calificando el problema como Importante y proporcionó paquetes de kernel actualizados para RHEL 8 .

Mitigaciones temporales

Si bien la aplicación de parches es la única solución completa, los administradores pueden implementar mitigaciones temporales para reducir la superficie de ataque:

1. Deshabilitar la virtualización anidada: En sistemas que no requieren VMs anidadas, deshabilitar la virtualización anidada (EPT/NPT) elimina la ruta de ataque a través del código de paginación anidada del shadow MMU .
2. Restringir el acceso a /dev/kvm: Para evitar la escalada de privilegios local no privilegiada, restrinja el acceso al dispositivo KVM. Cambie los permisos con

   chmod 660 /dev/kvm

   y agregue solo usuarios de confianza al grupo kvm .

Cronología de divulgación

• Descubrimiento: Hyunwoo Kim (@v4bel) descubrió y reportó la vulnerabilidad.
• Parche: 4 de julio de 2026.
• Divulgación pública: La divulgación completa se publicó en la lista de correo oss-security el 6 de julio de 2026, junto con una prueba de concepto de denegación de servicio pública .