Linux KVM「Januscape」（CVE-2026-53359）の詳細：16年間放置された重大な脆弱性

CVE-2026-53359（通称「Januscape」）は、LinuxカーネルのKVM（Kernel-based Virtual Machine）x86シャドウMMU（Memory Management Unit）に存在する、深刻度の高い解放後使用（Use-After-Free）の脆弱性です。この脆弱性により、ゲスト仮想マシン（VM）内でルート権限を持つ攻撃者がホストカーネルメモリを破損させ、VMの分離機構を突破する可能性があります。このバグはカーネルバージョン2.6.36（2010年8月リリース）で混入し、約16年間発見されないまま、2026年7月に開示・修正されました。

脆弱性の仕組み：シャドウMMUのロール不一致

この脆弱性は、シャドウMMUのコードパス、特にkvm_mmu_get_child_sp()関数に起因します。この関数は、ゲストがページテーブルを変更した際に、既存のシャドウページテーブルエントリ（SPTE）を再利用するよう設計されています。問題は、この関数がシャドウページを再利用するかどうかを判断する際に、ゲストフレーム番号（GFN）のみを検証し、MMUロールをチェックしない点にあります。

攻撃の流れを簡略化して説明します。

1. 初期状態： ゲストVMが2MBのページマッピングを持っています。KVMはこのマッピングに対して、direct=1 ロールのシャドウページを作成します。
2. PDEの変更： ゲスト内でルート権限を持つ攻撃者が、ページディレクトリエントリ（PDE）を変更し、非リーフページを指すようにします。これにより、新しいマッピングには direct=0 ロールの4KBページが必要になります。
3. ロール不一致の発生： KVMのkvm_mmu_get_child_sp()が再利用するシャドウページを探す際、GFNが一致するため、既存のシャドウページを発見します。しかし、directロールの比較に失敗します。その結果、direct=1 の古いシャドウページが、direct=0 を必要とするコンテキストで誤って再利用されます。
4. 解放後使用（Use-After-Free）： この誤って再利用されたシャドウページが後で（例：メモリスロットの削除後）解放（zap）されると、リバースマップ（rmap）エントリが適切に削除されません。解放されたシャドウページのsptep（シャドウページテーブルエントリポインタ）がrmapウォーク（ダーティログやMMU Notifierの無効化など）中に参照され続け、解放後使用（Use-After-Free）状態を引き起こします。

影響と深刻度：ゲスト脱出からホスト乗っ取りまで

CVE-2026-53359の影響は、特にマルチテナントクラウド環境において深刻です。

• ホストカーネルメモリ破損とVM脱出： ゲストVM内でルート権限を持つ攻撃者が、ホストカーネルのシャドウページ構造を破損させる可能性があります。これにより、Intel VMX/EPTおよびAMD SVM/NPTシステムの両方で、ゲストからホストへの完全な脱出が引き起こされる可能性があります。
• 確実なサービス拒否（DoS）： この脆弱性は確実に悪用され、ホストカーネルパニックを引き起こす可能性があります。これにより、同じ物理ホスト上の他のテナントVMすべてに対するサービス拒否（DoS）が発生します。
• ローカル権限昇格（LPE）： Red Hat Enterprise Linux（RHEL）のように/dev/kvmが全世界に書き込み可能（0666）なディストリビューションでは、特権を持たないローカルユーザーがこの脆弱性を信頼性の高いローカル権限昇格の手段として悪用できます。
• CVSSスコアと分類：
  • CVSSv3基本スコア： 7.0（High）（Amazon Web Servicesによる割り当て）。
  • Red Hatの深刻度： 重要（Important） 。
  • CWE分類： CWE-825（期限切れポインタ参照）/ CWE-416（解放後使用）。
• 既知の悪用： Januscapeエクスプロイトは、KVMの脆弱性に焦点を当てたキャプチャ・ザ・フラッグ（CTF）大会であるGoogleのkvmCTFで、0-dayとして実際に使用されました。

修正パッチと修正バージョン

脆弱性が特定されると、Linuxカーネルコミュニティは迅速に対応しました。修正はメインラインカーネルにコミットされ、安定版カーネルにバックポートされました。これらはすべて2026年7月4日にリリースされています。

• 修正済み安定版カーネルバージョン： 7.1.3、6.18.38、6.12.95、6.6.144、6.1.177 。
• パッチの内容： 修正（メインラインコミット 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb およびそのバックポート）は、kvm_mmu_get_child_sp() 内の検証ロジックを強化します。シャドウページを再利用する前に、ゲストフレーム番号とMMUロールの両方が一致することを要求するようになり、解放後使用につながるロール不一致を防止します。
• Red Hatセキュリティ勧告： Red Hatはセキュリティ勧告（RHSA-2026:13577）を発行し、この問題を「重要（Important）」と評価し、RHEL 8向けの更新されたカーネルパッケージを提供しました。

暫定的な回避策

パッチ適用が唯一の完全な修正ですが、管理者は攻撃対象領域を減らすために以下の暫定的な回避策を実施できます。

1. ネスト型仮想化の無効化： ネスト型VMが必要ないシステムでは、ネスト型仮想化（EPT/NPT）を無効にすることで、シャドウMMUのネストページングコードを介した攻撃経路が除去されます。
2. /dev/kvmへのアクセス制限： 特権のないローカル権限昇格を防ぐために、KVMデバイスへのアクセスを制限します。

   chmod 660 /dev/kvm

   で権限を変更し、信頼できるユーザーのみを kvm グループに追加します。

開示のタイムライン

• 発見： Hyunwoo Kim氏（@v4bel）によって脆弱性が発見・報告されました。
• パッチ適用： 2026年7月4日。
• 一般公開： 完全な開示内容は、2026年7月6日にoss-securityメーリングリストに投稿され、サービス拒否（DoS）の概念実証コードも同時に公開されました。