CVE-2026-53359 (Januscape) : La faille Linux vieille de 16 ans qui brise l'isolation des machines virtuelles

Impact et sévérité : De l'évasion de VM à la prise de contrôle de l'hôte

Les conséquences de CVE-2026-53359 sont graves, en particulier dans les environnements cloud multi-locataires.

• Corruption de la mémoire du noyau hôte et évasion de VM : Un attaquant disposant d'un accès root dans une VM invitée peut corrompre les structures des pages fantômes du noyau hôte. Cela peut conduire à une évasion complète de la VM invitée vers l'hôte sur les systèmes Intel VMX/EPT et AMD SVM/NPT .
• Déni de service (DoS) fiable : La vulnérabilité peut être déclenchée de manière fiable pour provoquer un plantage du noyau hôte, entraînant un déni de service pour toutes les VM locataires colocalisées sur le même hôte physique .
• Escalade de privilèges locale (LPE) : Sur des distributions comme Red Hat Enterprise Linux (RHEL) où /dev/kvm est accessible en écriture par tout le monde (0666), un utilisateur local non privilégié peut l'exploiter comme un vecteur fiable d'escalade de privilèges locale .
• Score CVSS et classification :
  • Score de base CVSSv3 : 7.0 (Élevé) attribué par Amazon Web Services .
  • Sévérité Red Hat : Importante .
  • Classification CWE : CWE-825 (Déréférencement de pointeur expiré) / CWE-416 (Use After Free) .
• Exploitation connue : L'exploit Januscape a été utilisé avec succès en tant que 0-day lors du concours kvmCTF de Google, un événement de type capture-the-drapeau axé sur les vulnérabilités KVM .

Correctifs et versions corrigées

La communauté du noyau Linux a réagi rapidement dès que la faille a été identifiée. Un correctif a été intégré au noyau principal et rétroporté vers les noyaux stables, tous publiés le 4 juillet 2026 .

• Versions de noyau stable corrigées : 7.1.3, 6.18.38, 6.12.95, 6.6.144 et 6.1.177 .
• Le correctif : Le correctif (commit principal 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb et ses rétroportages) renforce la logique de validation dans kvm_mmu_get_child_sp(). Il exige désormais que le numéro de frame invité ET le rôle de la MMU correspondent avant de réutiliser une page fantôme, empêchant ainsi l'inadéquation de rôle qui mène au use-after-free .
• Avis de Red Hat : Red Hat a publié un avis de sécurité (RHSA-2026:13577) classant le problème comme Important et a fourni des paquets de noyau mis à jour pour RHEL 8 .

Mesures d'atténuation provisoires

Bien que l'application du correctif soit la seule solution complète, les administrateurs peuvent mettre en œuvre des mesures d'atténuation provisoires pour réduire la surface d'attaque :

1. Désactiver la virtualisation imbriquée : Sur les systèmes qui n'en ont pas besoin, la désactivation de la virtualisation imbriquée (EPT/NPT) supprime la voie d'attaque via le code de pagination imbriquée de la MMU fantôme .
2. Restreindre l'accès à /dev/kvm : Pour empêcher l'escalade de privilèges locale non privilégiée, restreignez l'accès au périphérique KVM. Modifiez les permissions avec

   chmod 660 /dev/kvm

   et n'ajoutez que les utilisateurs de confiance au groupe kvm .

Calendrier de divulgation

• Découverte : Hyunwoo Kim (@v4bel) a découvert et signalé la vulnérabilité.
• Correctif : 4 juillet 2026.
• Divulgation publique : La divulgation complète a été publiée sur la liste de diffusion oss-security le 6 juillet 2026, accompagnée d'une preuve de concept publique de déni de service .