CVE-2026-53359 (Januscape): 16 साल पुराना Linux KVM बग जो वर्चुअल मशीन से बाहर निकलने देता है

यहाँ हमले का एक सरल चरण-दर-चरण विवरण दिया गया है:

1. प्रारंभिक अवस्था: एक गेस्ट VM में 2MB पेज मैपिंग है। KVM इस मैपिंग के लिए direct=1 भूमिका के साथ एक शैडो पेज बनाता है।
2. PDE संशोधन: गेस्ट के अंदर रूट एक्सेस वाला हमलावर एक पेज डायरेक्टरी एंट्री (PDE) को बदलकर एक नॉन-लीफ पेज की ओर इंगित करता है। इसका मतलब है कि नई मैपिंग के लिए 4KB पेज की आवश्यकता है, जिसकी भूमिका direct=0 होती है।
3. भूमिका बेमेल: जब KVM का kvm_mmu_get_child_sp() पुन: उपयोग के लिए एक शैडो पेज खोजता है, तो उसे GFN के मिलान के कारण मौजूदा शैडो पेज मिल जाता है। लेकिन यह direct भूमिका की तुलना करने में विफल रहता है। direct=1 वाला पुराना शैडो पेज गलत तरीके से एक ऐसे संदर्भ के लिए पुन: उपयोग किया जाता है जिसे अब direct=0 की आवश्यकता है ।
4. Use-After-Free: जब इस गलत तरीके से पुन: उपयोग किए गए शैडो पेज को बाद में जैप किया जाता है (जैसे, मेमस्लॉट हटाए जाने के बाद), तो रिवर्स-मैप (rmap) एंट्री को ठीक से नहीं हटाया जाता है। मुक्त किए गए शैडो पेज का sptep (शैडो पेज टेबल एंट्री पॉइंटर) rmap वॉक के दौरान संदर्भित रहता है, जिससे use-after-free की स्थिति पैदा होती है ।

प्रभाव और गंभीरता: गेस्ट एस्केप से होस्ट टेकओवर तक

CVE-2026-53359 के परिणाम गंभीर हैं, खासकर मल्टी-टेनेंट क्लाउड वातावरण में।

• होस्ट कर्नेल मेमोरी भ्रष्टाचार और VM एस्केप: गेस्ट VM में रूट वाला हमलावर होस्ट कर्नेल शैडो पेज संरचनाओं को दूषित कर सकता है। यह इंटेल VMX/EPT और AMD SVM/NPT दोनों सिस्टम पर पूर्ण गेस्ट-टू-होस्ट एस्केप का कारण बन सकता है ।
• विश्वसनीय डिनायल ऑफ सर्विस (DoS): इस कमजोरी को विश्वसनीय रूप से ट्रिगर करके होस्ट कर्नेल पैनिक पैदा किया जा सकता है, जिसके परिणामस्वरूप एक ही भौतिक होस्ट पर स्थित सभी सह-स्थित टेनेंट VM के लिए सेवा से इनकार हो सकता है ।
• स्थानीय विशेषाधिकार वृद्धि (LPE): Red Hat Enterprise Linux (RHEL) जैसे वितरणों पर जहाँ /dev/kvm विश्व-लेखन योग्य (0666) है, एक अविशिष्ट स्थानीय उपयोगकर्ता इसे एक विश्वसनीय स्थानीय विशेषाधिकार वृद्धि वेक्टर के रूप में शोषण कर सकता है ।
• CVSS स्कोर और वर्गीकरण:
  • CVSSv3 बेस स्कोर: 7.0 (उच्च) Amazon Web Services द्वारा निर्धारित ।
  • Red Hat गंभीरता: महत्वपूर्ण (Important) ।
• ज्ञात शोषण: Januscape शोषण का उपयोग Google की kvmCTF प्रतियोगिता में एक 0-दिवसीय हमले के रूप में सफलतापूर्वक किया गया था ।

पैच और स्थिर संस्करण

एक बार दोष की पहचान होने के बाद Linux कर्नेल समुदाय ने तुरंत प्रतिक्रिया दी। मेनलाइन कर्नेल में एक फिक्स प्रतिबद्ध किया गया और स्थिर कर्नेल में बैकपोर्ट किया गया, जो सभी 4 जुलाई, 2026 को जारी किए गए ।

• स्थिर कर्नेल संस्करण: 7.1.3, 6.18.38, 6.12.95, 6.6.144, और 6.1.177 ।
• पैच: फिक्स (मेनलाइन कमिट 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb और इसके बैकपोर्ट) kvm_mmu_get_child_sp() में सत्यापन तर्क को मजबूत करता है। अब शैडो पेज का पुन: उपयोग करने से पहले गेस्ट फ्रेम नंबर और MMU भूमिका दोनों के मिलान की आवश्यकता है, जो use-after-free की ओर ले जाने वाले भूमिका-बेमेल को रोकता है ।
• Red Hat सलाहकार: Red Hat ने एक सुरक्षा सलाहकार (RHSA-2026:13577) जारी कर इस मुद्दे को महत्वपूर्ण बताया और RHEL 8 के लिए अद्यतन कर्नेल पैकेज प्रदान किए ।

अंतरिम शमन उपाय

जबकि पैच लगाना ही एकमात्र पूर्ण समाधान है, प्रशासक हमले की सतह को कम करने के लिए अंतरिम शमन उपाय लागू कर सकते हैं:

1. नेस्टेड वर्चुअलाइजेशन अक्षम करें: उन सिस्टमों पर जिन्हें नेस्टेड VM की आवश्यकता नहीं है, नेस्टेड वर्चुअलाइजेशन (EPT/NPT) को अक्षम करने से शैडो MMU के नेस्टेड-पेजिंग कोड के माध्यम से हमले का रास्ता हट जाता है ।
2. /dev/kvm एक्सेस प्रतिबंधित करें: अविशिष्ट स्थानीय विशेषाधिकार वृद्धि को रोकने के लिए, KVM डिवाइस तक पहुंच प्रतिबंधित करें। chmod 660 /dev/kvm के साथ अनुमतियाँ बदलें और केवल विश्वसनीय उपयोगकर्ताओं को kvm समूह में जोड़ें ।

प्रकटीकरण समयरेखा

• खोज: Hyunwoo Kim (@v4bel) ने इस कमजोरी की खोज की और इसकी सूचना दी।
• पैच: 4 जुलाई, 2026।
• सार्वजनिक प्रकटीकरण: पूर्ण प्रकटीकरण oss-security मेलिंग सूची में 6 जुलाई, 2026 को एक सार्वजनिक डिनायल-ऑफ-सर्विस प्रूफ-ऑफ-कॉन्सेप्ट के साथ पोस्ट किया गया ।