CVE-2026-53359 (Januscape) Explicada: A Falha de 16 Anos no Linux KVM Que Permite Fuga de Máquinas Virtuais

CVE-2026-53359, apelidada de "Januscape", é uma vulnerabilidade de alta gravidade do tipo use-after-free no subsistema KVM (Kernel-based Virtual Machine) do kernel Linux, especificamente no código do MMU (Memory Management Unit) sombreado para arquitetura x86. Ela permite que um atacante com acesso root dentro de uma máquina virtual (VM) convidada corrompa a memória do kernel do host, possibilitando uma fuga do isolamento da VM. O bug foi introduzido na versão 2.6.36 do kernel (lançada em agosto de 2010) e permaneceu sem ser descoberto por cerca de 16 anos antes de ser divulgado e corrigido em julho de 2026 .

Como a Falha Funciona: O Erro de Função (Role) no MMU Sombreado

A vulnerabilidade está enraizada no caminho do código do MMU sombreado (shadow MMU), especificamente na função kvm_mmu_get_child_sp(). Esta função foi projetada para reutilizar uma entrada de tabela de página sombreada (SPTE) existente quando um convidado modifica suas tabelas de página. A falha crítica é que a função valida apenas o número do quadro do convidado (GFN) ao decidir se deve reutilizar uma página sombreada, mas não verifica a função (role) do MMU .

Aqui está uma explicação simplificada passo a passo do ataque:

1. Estado Inicial: Uma VM convidada tem um mapeamento de página de 2MB. O KVM cria uma página sombreada para este mapeamento com uma função direct=1.
2. Modificação do PDE: O atacante, com acesso root dentro do convidado, altera uma entrada do diretório de página (PDE) para apontar para uma página não-folha. Isso significa que o novo mapeamento requer uma página de 4KB, que tem uma função direct=0.
3. Incompatibilidade de Função: Quando o kvm_mmu_get_child_sp() do KVM procura uma página sombreada para reutilizar, ele encontra a página sombreada existente porque o GFN corresponde. No entanto, ele falha ao comparar a função direct. A página sombreada antiga com direct=1 é incorretamente reutilizada para um contexto que agora requer direct=0 .
4. Use-After-Free: Quando esta página sombreada reutilizada incorretamente é posteriormente 'zappada' (por exemplo, após um memslot ser deletado), a entrada do mapa reverso (rmap) não é removida adequadamente. O sptep (ponteiro da entrada da tabela de página sombreada) da página liberada permanece referenciado durante as varreduras do rmap (como para dirty logging ou invalidação do MMU notifier), levando a uma condição de use-after-free .

Impacto e Gravidade: Da Fuga da VM ao Controle do Host

As consequências do CVE-2026-53359 são severas, particularmente em ambientes de nuvem multi-inquilinos.

• Corrupção da Memória do Kernel do Host e Fuga da VM: Um atacante com root em uma VM convidada pode corromper as estruturas da página sombreada do kernel do host. Isso pode levar a uma fuga completa do convidado para o host em sistemas Intel VMX/EPT e AMD SVM/NPT .
• Negação de Serviço (DoS) Confiável: A vulnerabilidade pode ser acionada de forma confiável para causar um kernel panic no host, resultando em uma negação de serviço para todas as VMs de inquilinos co-localizados no mesmo host físico .
• Escalonamento de Privilégio Local (LPE): Em distribuições como o Red Hat Enterprise Linux (RHEL), onde /dev/kvm é gravável por qualquer usuário (0666), um usuário local não privilegiado pode explorar isso como um vetor confiável de escalonamento de privilégio local .
• Pontuação CVSS e Classificação:
  • Pontuação Base CVSSv3: 7.0 (Alta) atribuída pela Amazon Web Services .
  • Severidade Red Hat: Importante .
  • Classificação CWE: CWE-825 (Desreferência de Ponteiro Expirado) / CWE-416 (Use After Free) .
• Exploração Conhecida: O exploit Januscape foi usado com sucesso como um 0-day na competição kvmCTF do Google, um evento capture-the-flag focado em vulnerabilidades do KVM .

Patches e Versões Corrigidas

A comunidade do kernel Linux agiu rapidamente assim que a falha foi identificada. Uma correção foi confirmada no kernel principal e distribuída para os kernels estáveis, todos lançados em 4 de julho de 2026 .

• Versões de Kernel Estável Corrigidas: 7.1.3, 6.18.38, 6.12.95, 6.6.144 e 6.1.177 .
• O Patch: A correção (commit principal 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb e seus backports) fortalece a lógica de validação em kvm_mmu_get_child_sp(). Agora, é necessário que ambos, o número do quadro do convidado e a função do MMU, correspondam antes de reutilizar uma página sombreada, prevenindo a incompatibilidade de função que leva ao use-after-free .
• Advertência da Red Hat: A Red Hat emitiu uma advertência de segurança (RHSA-2026:13577) classificando o problema como Importante e forneceu pacotes de kernel atualizados para RHEL 8 .

Mitigações Interinas

Embora a aplicação de patches seja a única correção completa, os administradores podem implementar mitigações interinas para reduzir a superfície de ataque:

1. Desabilitar a Virtualização Aninhada: Em sistemas que não exigem VMs aninhadas, desabilitar a virtualização aninhada (EPT/NPT) remove o caminho de ataque através do código de paginação aninhada do MMU sombreado .
2. Restringir o Acesso a /dev/kvm: Para evitar o escalonamento de privilégio local não privilegiado, restrinja o acesso ao dispositivo KVM. Altere as permissões com

   chmod 660 /dev/kvm

   e adicione apenas usuários confiáveis ao grupo kvm .

Linha do Tempo da Divulgação

• Descoberta: Hyunwoo Kim (@v4bel) descobriu e relatou a vulnerabilidade.
• Patch: 4 de julho de 2026.
• Divulgação Pública: A divulgação completa foi postada na lista de e-mails oss-security em 6 de julho de 2026, juntamente com uma prova de conceito pública de negação de serviço .