CVE-2026-53359 (Januscape) – 16 vuoden ajan piilotettu Linux KVM -haavoittuvuus

CVE-2026-53359, lempinimeltään "Januscape", on korkean vakavuusasteen käytön jälkeen vapauttamiseen (use-after-free) perustuva haavoittuvuus Linux-ytimen KVM (Kernel-based Virtual Machine) x86-varjosivutuksessa (shadow MMU). Se antaa hyökkääjälle, jolla on pääkäyttäjäoikeudet virtuaalikoneessa (VM), mahdollisuuden vioittaa isäntäytimen muistia ja mahdollisesti paeta virtuaalikoneesta. Bugi lisättiin ytimeen versiossa 2.6.36 (julkaistu elokuussa 2010) ja se pysyi löytämättömänä noin 16 vuotta, kunnes se paljastettiin ja korjattiin heinäkuussa 2026 .

Miten haavoittuvuus toimii: Varjosivutuksen roolien ristiriita

Haavoittuvuus sijaitsee varjosivutuksen (shadow MMU) koodipolussa, tarkemmin funktiossa kvm_mmu_get_child_sp(). Tämä funktio on suunniteltu käyttämään uudelleen olemassa olevaa varjosivutaulukon merkintää (SPTE), kun virtuaalikone muokkaa sivutaulukoitaan. Kriittinen virhe on siinä, että funktio tarkistaa uudelleenkäytön yhteydessä ainoastaan virtuaalikoneen kehysnumeron (Guest Frame Number, GFN), mutta se ei tarkista MMU-roolia .

Yksinkertaistettu kuvaus hyökkäyksestä:

1. Alkutilanne: Virtuaalikoneella on 2 Mt:n sivutus. KVM luo tälle sivutukselle varjosivun, jolla on direct=1-rooli.
2. PDE:n muokkaus: Hyökkääjä (pääkäyttäjä virtuaalikoneen sisällä) muuttaa sivuhakemistomerkintää (PDE) osoittamaan lehteen, joka ei ole lehti. Tämä tarkoittaa, että uusi sivutuus vaatii 4 kt:n sivun, jolla on direct=0-rooli.
3. Roolien ristiriita: Kun KVM:n kvm_mmu_get_child_sp() etsii uudelleenkäytettävää varjosivua, se löytää olemassa olevan varjosivun, koska GFN täsmää. Se kuitenkin epäonnistuu vertaamaan direct-roolia. Vanha varjosivu direct=1-roolilla käytetään uudelleen asiayhteydessä, joka nyt vaatii direct=0-roolia .
4. Käytön jälkeen vapauttaminen: Kun tämä virheellisesti uudelleenkäytetty varjosivu myöhemmin poistetaan (esim. memslot-poiston jälkeen), käänteiskarttaan (rmap) liittyvää merkintää ei poisteta kunnolla. Vapautetun varjosivun sptep (varjosivutaulukon merkintäosoitin) jää viitatuksi rmap-kävelyjen (kuten dirty logging tai MMU-notifier-invalidointi) aikana, mikä johtaa käytön jälkeen vapauttamiseen (use-after-free) .

Vaikutus ja vakavuus: Virtuaalikoneen pakenemisesta isäntäjärjestelmän haltuunottoon

CVE-2026-53359:n seuraukset ovat vakavia, erityisesti monivuokraajapilviympäristöissä.

• Isäntäytimen muistin vioitus ja virtuaalikoneesta pakeneminen: Pääkäyttäjä virtuaalikoneen sisällä voi vioittaa isäntäytimen varjosivurakenteita. Tämä voi johtaa täydelliseen virtuaalikoneesta isäntäjärjestelmään pakenemiseen sekä Intel VMX/EPT- että AMD SVM/NPT-järjestelmissä .
• Luotettava palvelunestohyökkäys (DoS): Haavoittuvuus voidaan luotettavasti laukaista aiheuttamaan isäntäytimen paniikki, mikä johtaa palvelunestoon kaikille samalla fyysisellä palvelimella oleville vuokraajien virtuaalikoneille .
• Paikallinen käyttöoikeuksien korotus (LPE): Jakeluissa kuten Red Hat Enterprise Linux (RHEL), joissa /dev/kvm on maailmanlaajuisesti kirjoitettava (0666), paikallinen ei-etuoikeutettu käyttäjä voi käyttää tätä luotettavana paikallisena käyttöoikeuksien korotusvektorina .
• CVSS-pistemäärä ja luokitus:
  • CVSSv3-peruspistemäärä: 7.0 (Korkea) Amazon Web Servicesin määrittämänä .
  • Red Hatin vakavuus: Important .
  • CWE-luokitus: CWE-825 (Vanhentuneen osoittimen viittaus) / CWE-416 (Käytön jälkeen vapauttaminen) .
• Tunnettu hyödyntäminen: Januscape-hyökkäystä käytettiin onnistuneesti 0-päivänä Googlen kvmCTF-kilpailussa, joka on KVM-haavoittuvuuksiin keskittyvä capture-the-flag-tapahtuma .

Korjaukset ja korjatut versiot

Linux-ydinyhteisö reagoi nopeasti, kun vika tunnistettiin. Korjaus tehtiin päähaaran ytimeen (mainline) ja se siirrettiin vakaisiin ytimiin, kaikki julkaistu 4. heinäkuuta 2026 .

• Korjatut vakaat ytimen versiot: 7.1.3, 6.18.38, 6.12.95, 6.6.144 ja 6.1.177 .
• Korjaus: Päähaaran korjaus (commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb ja sen siirrokset) vahvistaa validointilogiikkaa kvm_mmu_get_child_sp()-funktiossa. Se vaatii nyt sekä vieraskehysnumeron että MMU-roolin täsmäämään ennen varjosivun uudelleenkäyttöä, estäen roolien ristiriidan, joka johtaa käytön jälkeen vapauttamiseen .
• Red Hatin tiedote: Red Hat julkaisi tietoturvatiedotteen (RHSA-2026:13577), joka luokittelee ongelman vakavuudeltaan Importantiksi ja tarjoaa päivitetyt ytimen paketit RHEL 8:lle .

Väliaikaiset suojaukset

Vaikka korjaus on ainoa täydellinen ratkaisu, järjestelmänvalvojat voivat ottaa käyttöön väliaikaisia suojauksia hyökkäyspinnan vähentämiseksi:

1. Poista sisäkkäinen virtualisointi käytöstä: Järjestelmissä, jotka eivät tarvitse sisäkkäisiä virtuaalikoneita, sisäkkäisen virtualisoinnin (EPT/NPT) poistaminen poistaa hyökkäyspolun varjosivutuksen sisäkkäisen sivutuspolun kautta .
2. Rajoita /dev/kvm-pääsy: Estä paikallinen käyttöoikeuksien korotus rajoittamalla KVM-laitteen pääsyä. Muuta oikeudet komennolla

   chmod 660 /dev/kvm

   ja lisää vain luotetut käyttäjät kvm-ryhmään .

Paljastuksen aikajana

• Löytö: Hyunwoo Kim (@v4bel) löysi ja raportoi haavoittuvuuden.
• Korjaus: 4. heinäkuuta 2026.
• Julkinen paljastus: Täysi paljastus lähetettiin oss-security-postituslistalle 6. heinäkuuta 2026, yhdessä julkisen palvelunestohyökkäyksen konseptitodisteen (PoC) kanssa .