CVE-2026-53359 (Januscape) – 16 vuoden ajan piilotettu Linux KVM -haavoittuvuus

Yksinkertaistettu kuvaus hyökkäyksestä:

1. Alkutilanne: Virtuaalikoneella on 2 Mt:n sivutus. KVM luo tälle sivutukselle varjosivun, jolla on direct=1-rooli.
2. PDE:n muokkaus: Hyökkääjä (pääkäyttäjä virtuaalikoneen sisällä) muuttaa sivuhakemistomerkintää (PDE) osoittamaan lehteen, joka ei ole lehti. Tämä tarkoittaa, että uusi sivutuus vaatii 4 kt:n sivun, jolla on direct=0-rooli.
3. Roolien ristiriita: Kun KVM:n kvm_mmu_get_child_sp() etsii uudelleenkäytettävää varjosivua, se löytää olemassa olevan varjosivun, koska GFN täsmää. Se kuitenkin epäonnistuu vertaamaan direct-roolia. Vanha varjosivu direct=1-roolilla käytetään uudelleen asiayhteydessä, joka nyt vaatii direct=0-roolia .
4. Käytön jälkeen vapauttaminen: Kun tämä virheellisesti uudelleenkäytetty varjosivu myöhemmin poistetaan (esim. memslot-poiston jälkeen), käänteiskarttaan (rmap) liittyvää merkintää ei poisteta kunnolla. Vapautetun varjosivun sptep (varjosivutaulukon merkintäosoitin) jää viitatuksi rmap-kävelyjen (kuten dirty logging tai MMU-notifier-invalidointi) aikana, mikä johtaa käytön jälkeen vapauttamiseen (use-after-free) .

Vaikutus ja vakavuus: Virtuaalikoneen pakenemisesta isäntäjärjestelmän haltuunottoon

CVE-2026-53359:n seuraukset ovat vakavia, erityisesti monivuokraajapilviympäristöissä.

• Isäntäytimen muistin vioitus ja virtuaalikoneesta pakeneminen: Pääkäyttäjä virtuaalikoneen sisällä voi vioittaa isäntäytimen varjosivurakenteita. Tämä voi johtaa täydelliseen virtuaalikoneesta isäntäjärjestelmään pakenemiseen sekä Intel VMX/EPT- että AMD SVM/NPT-järjestelmissä .
• Luotettava palvelunestohyökkäys (DoS): Haavoittuvuus voidaan luotettavasti laukaista aiheuttamaan isäntäytimen paniikki, mikä johtaa palvelunestoon kaikille samalla fyysisellä palvelimella oleville vuokraajien virtuaalikoneille .
• Paikallinen käyttöoikeuksien korotus (LPE): Jakeluissa kuten Red Hat Enterprise Linux (RHEL), joissa /dev/kvm on maailmanlaajuisesti kirjoitettava (0666), paikallinen ei-etuoikeutettu käyttäjä voi käyttää tätä luotettavana paikallisena käyttöoikeuksien korotusvektorina .
• CVSS-pistemäärä ja luokitus:
  • CVSSv3-peruspistemäärä: 7.0 (Korkea) Amazon Web Servicesin määrittämänä .
  • Red Hatin vakavuus: Important .
• Tunnettu hyödyntäminen: Januscape-hyökkäystä käytettiin onnistuneesti 0-päivänä Googlen kvmCTF-kilpailussa, joka on KVM-haavoittuvuuksiin keskittyvä capture-the-flag-tapahtuma .

Korjaukset ja korjatut versiot

Linux-ydinyhteisö reagoi nopeasti, kun vika tunnistettiin. Korjaus tehtiin päähaaran ytimeen (mainline) ja se siirrettiin vakaisiin ytimiin, kaikki julkaistu 4. heinäkuuta 2026 .

• Korjatut vakaat ytimen versiot: 7.1.3, 6.18.38, 6.12.95, 6.6.144 ja 6.1.177 .
• Korjaus: Päähaaran korjaus (commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb ja sen siirrokset) vahvistaa validointilogiikkaa kvm_mmu_get_child_sp()-funktiossa. Se vaatii nyt sekä vieraskehysnumeron että MMU-roolin täsmäämään ennen varjosivun uudelleenkäyttöä, estäen roolien ristiriidan, joka johtaa käytön jälkeen vapauttamiseen .
• Red Hatin tiedote: Red Hat julkaisi tietoturvatiedotteen (RHSA-2026:13577), joka luokittelee ongelman vakavuudeltaan Importantiksi ja tarjoaa päivitetyt ytimen paketit RHEL 8:lle .

Väliaikaiset suojaukset

Vaikka korjaus on ainoa täydellinen ratkaisu, järjestelmänvalvojat voivat ottaa käyttöön väliaikaisia suojauksia hyökkäyspinnan vähentämiseksi:

1. Poista sisäkkäinen virtualisointi käytöstä: Järjestelmissä, jotka eivät tarvitse sisäkkäisiä virtuaalikoneita, sisäkkäisen virtualisoinnin (EPT/NPT) poistaminen poistaa hyökkäyspolun varjosivutuksen sisäkkäisen sivutuspolun kautta .
2. Rajoita /dev/kvm-pääsy: Estä paikallinen käyttöoikeuksien korotus rajoittamalla KVM-laitteen pääsyä. Muuta oikeudet komennolla chmod 660 /dev/kvm ja lisää vain luotetut käyttäjät kvm-ryhmään .

Paljastuksen aikajana

• Löytö: Hyunwoo Kim (@v4bel) löysi ja raportoi haavoittuvuuden.
• Korjaus: 4. heinäkuuta 2026.
• Julkinen paljastus: Täysi paljastus lähetettiin oss-security-postituslistalle 6. heinäkuuta 2026, yhdessä julkisen palvelunestohyökkäyksen konseptitodisteen (PoC) kanssa .