CVE-2026-53359 (Januscape) forklart: 16 år gammel Linux KVM-sårbarhet lar gjester slippe ut

CVE-2026-53359, også kjent som «Januscape», er en alvorlig use-after-free-sårbarhet i Linux-kjernens KVM (Kernel-based Virtual Machine) x86 shadow MMU (Memory Management Unit). Sårbarheten lar en angriper med root-tilgang inne i en gjest-VM korrupte vertens kjerneminne og potensielt unnslippe VM-isolasjonen. Feilen ble introdusert i kjerneversjon 2.6.36 (utgitt i august 2010) og forble uoppdaget i omtrent 16 år før den ble offentliggjort og lappet i juli 2026 .

Slik fungerer feilen: Rollerot i Shadow MMU

Sårbarheten ligger i kodebanen til shadow MMU, nærmere bestemt funksjonen kvm_mmu_get_child_sp(). Denne funksjonen er designet for å gjenbruke en eksisterende shadow page table entry (SPTE) når en gjest endrer sidetabellene sine. Den kritiske feilen er at funksjonen kun validerer gjestens rammenummer (GFN) når den bestemmer seg for å gjenbruke en shadow page, men den sjekker ikke MMU-rollen .

Her er en forenklet trinn-for-trinn-beskrivelse av angrepet:

1. Starttilstand: En gjest-VM har en 2MB-sidekartlegging. KVM oppretter en shadow page for denne kartleggingen med rollen direct=1.
2. PDE-endring: Angriperen, med root-tilgang inne i gjesten, endrer en page directory entry (PDE) til å peke til en ikke-bladside. Dette betyr at den nye kartleggingen krever en 4KB-side, som har rollen direct=0.
3. Rollerot: Når KVMs kvm_mmu_get_child_sp() leter etter en shadow page å gjenbruke, finner den den eksisterende shadow page fordi GFN-en stemmer. Imidlertid sammenligner den ikke direct-rollen. Den gamle shadow page med direct=1 blir feilaktig gjenbrukt i en kontekst som nå krever direct=0 .
4. Use-After-Free: Når denne feilaktig gjenbrukte shadow page senere blir fjernet (for eksempel etter at en memslot er slettet), blir ikke reverse-map-posten (rmap) fjernet på riktig måte. Den frigjorte shadow page sin sptep (shadow page table entry pointer) forblir referert under rmap-gjennomganger (som for dirty logging eller MMU notifier-invalidering), noe som fører til en use-after-free-tilstand .

Konsekvenser og alvorlighetsgrad: Fra gjeste-unnslipp til verts-overtakelse

Konsekvensene av CVE-2026-53359 er alvorlige, spesielt i flerleiemiljøer i skyen.

• Korrupsjon av vertens kjerneminne og VM-unnslipp: En angriper med root i en gjest-VM kan korrupte vertens shadow page-strukturer. Dette kan føre til et fullstendig gjeste-til-vert-unnslipp på både Intel VMX/EPT- og AMD SVM/NPT-systemer .
• Pålitelig tjenestenekt (DoS): Sårbarheten kan utløses pålitelig for å forårsake en vertskjerne-panikk, noe som resulterer i tjenestenekt for alle samlokaliserte leietaker-VM-er på samme fysiske vert .
• Lokal privilegieeskalering (LPE): På distribusjoner som Red Hat Enterprise Linux (RHEL) der /dev/kvm er verdensskrivbar (0666), kan en uprivilegert lokal bruker utnytte dette som en pålitelig vektor for lokal privilegieeskalering .
• CVSS-score og klassifisering:
  • CVSSv3-grunntscore: 7,0 (Høy) tildelt av Amazon Web Services .
  • Red Hat-alvorlighetsgrad: Viktig .
  • CWE-klassifisering: CWE-825 (Expired Pointer Dereference) / CWE-416 (Use After Free) .
• Kjent utnyttelse: Januscape-utnyttelsen ble vellykket brukt som en 0-dag i Googles kvmCTF-konkurranse, en capture-the-flag-konkurranse fokusert på KVM-sårbarheter .

Lapper og fiksede versjoner

Linux-kjernemiljøet reagerte raskt da feilen ble identifisert. En fiks ble forpliktet til hovedlinjen og tilbakeført til stabile kjerner, alle utgitt 4. juli 2026 .

• Fiksete stabile kjerneversjoner: 7.1.3, 6.18.38, 6.12.95, 6.6.144 og 6.1.177 .
• Lappen: Lappen (hovedlinjeforpliktelse 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb og dens tilbakeføringer) styrker valideringslogikken i kvm_mmu_get_child_sp(). Den krever nå at både gjestens rammenummer og MMU-rollen stemmer før en shadow page gjenbrukes, noe som forhindrer rolleroten som fører til use-after-free .
• Red Hat-rådgivning: Red Hat utstedte en sikkerhetsrådgivning (RHSA-2026:13577) som klassifiserer problemet som Viktig og ga oppdaterte kjerneoppdateringer for RHEL 8 .

Midlertidige tiltak

Selv om lapping er den eneste fullstendige løsningen, kan administratorer iverksette midlertidige tiltak for å redusere angrepsoverflaten:

1. Deaktiver nestet virtualisering: På systemer som ikke trenger nestede VM-er, fjerner deaktivering av nestet virtualisering (EPT/NPT) angrepsveien gjennom shadow MMUs nested-paging-kode .
2. Begrens /dev/kvm-tilgang: For å forhindre uprivilegert lokal privilegieeskalering, begrens tilgangen til KVM-enheten. Endre tillatelser med

   chmod 660 /dev/kvm

   og legg kun til betrodde brukere i kvm-gruppen .

Offentliggjøringstidslinje

• Oppdagelse: Hyunwoo Kim (@v4bel) oppdaget og rapporterte sårbarheten.
• Lapp: 4. juli 2026.
• Offentlig offentliggjøring: Full offentliggjøring ble postet til oss-security-postlisten 6. juli 2026, sammen med en offentlig tjenestenekt-bevis-for-konsept .