CVE-2026-53359 (Januscape): 16-jaar oude Linux KVM-kwetsbaarheid stelt virtuele machines bloot

Impact en ernst: Van gast-ontsnapping tot overname van de host

De gevolgen van CVE-2026-53359 zijn ernstig, vooral in multi-tenant cloudomgevingen.

• Corruptie hostkernelgeheugen en VM-ontsnapping: Een aanvaller met root-toegang in een gast-VM kan de schaduwpaginastructuren van de hostkernel manipuleren, wat kan leiden tot een volledige guest-to-host-ontsnapping op zowel Intel VMX/EPT- als AMD SVM/NPT-systemen .
• Betrouwbare denial of service (DoS): De kwetsbaarheid kan betrouwbaar worden getriggerd om een host-kernelpaniek te veroorzaken, wat leidt tot een denial of service voor alle andere tenant-VM's op dezelfde fysieke host .
• Lokale privilege-escalatie (LPE): Op distributies zoals Red Hat Enterprise Linux (RHEL), waar /dev/kvm wereld-writes toestaat (0666), kan een onbevoegde lokale gebruiker dit misbruiken voor een betrouwbare lokale privilege-escalatie .
• CVSS-score en classificatie:
  • CVSSv3-basescore: 7,0 (Hoog) toegekend door Amazon Web Services .
  • Red Hat-urgentie: Belangrijk (Important) .
  • CWE-classificatie: CWE-825 (Expired Pointer Dereference) / CWE-416 (Use After Free) .
• Bekende exploitatie: De Januscape-exploit werd met succes gebruikt als een 0-day in Google's kvmCTF-competitie, een capture-the-flag-evenement gericht op KVM-kwetsbaarheden .

Patches en herstelde versies

De Linuxkernelgemeenschap reageerde snel nadat de fout was geïdentificeerd. Een fix werd doorgevoerd in de mainline kernel en teruggepoort naar stabiele kernels, allemaal uitgebracht op 4 juli 2026 .

• Herstelde stabiele kernelversies: 7.1.3, 6.18.38, 6.12.95, 6.6.144 en 6.1.177 .
• De patch: De fix (mainline commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb en de backports) versterkt de validatielogica in kvm_mmu_get_child_sp(). Het vereist nu dat zowel het gast-framenummer als de MMU-rol overeenkomen voordat een schaduwpagina wordt hergebruikt, wat de rol-mismatch voorkomt .
• Red Hat-advisories: Red Hat heeft een beveiligingsadvies (RHSA-2026:13577) uitgegeven, waarin het probleem als Important wordt beoordeeld en bijgewerkte kernelpakketten voor RHEL 8 worden geleverd .

Tijdelijke beperkende maatregelen

Hoewel patchen de enige volledige oplossing is, kunnen beheerders tijdelijke maatregelen nemen om het aanvalsoppervlak te verkleinen:

1. Schakel geneste virtualisatie uit: Op systemen die geen geneste VM's vereisen, verwijdert het uitschakelen van geneste virtualisatie (EPT/NPT) de aanvalsroute via de nested-paging-code van de shadow MMU .
2. Beperk /dev/kvm-toegang: Om lokale privilege-escalatie te voorkomen, beperk je de toegang tot het KVM-apparaat. Wijzig de rechten met

   chmod 660 /dev/kvm

   en voeg alleen vertrouwde gebruikers toe aan de kvm-groep .

Tijdlijn openbaarmaking

• Ontdekking: Hyunwoo Kim (@v4bel) ontdekte en meldde de kwetsbaarheid.
• Patch: 4 juli 2026.
• Openbaarmaking: De volledige openbaarmaking werd op 6 juli 2026 gepost op de oss-security-mailinglijst, samen met een openbaar proof-of-concept voor denial-of-service .