CVE-2026-53359 (Januscape) Explicada: A Falha de 16 Anos no Linux KVM Que Permite Fuga de Máquinas Virtuais

Aqui está uma explicação simplificada passo a passo do ataque:

1. Estado Inicial: Uma VM convidada tem um mapeamento de página de 2MB. O KVM cria uma página sombreada para este mapeamento com uma função direct=1.
2. Modificação do PDE: O atacante, com acesso root dentro do convidado, altera uma entrada do diretório de página (PDE) para apontar para uma página não-folha. Isso significa que o novo mapeamento requer uma página de 4KB, que tem uma função direct=0.
3. Incompatibilidade de Função: Quando o kvm_mmu_get_child_sp() do KVM procura uma página sombreada para reutilizar, ele encontra a página sombreada existente porque o GFN corresponde. No entanto, ele falha ao comparar a função direct. A página sombreada antiga com direct=1 é incorretamente reutilizada para um contexto que agora requer direct=0 .
4. Use-After-Free: Quando esta página sombreada reutilizada incorretamente é posteriormente 'zappada' (por exemplo, após um memslot ser deletado), a entrada do mapa reverso (rmap) não é removida adequadamente. O sptep (ponteiro da entrada da tabela de página sombreada) da página liberada permanece referenciado durante as varreduras do rmap (como para dirty logging ou invalidação do MMU notifier), levando a uma condição de use-after-free .

Impacto e Gravidade: Da Fuga da VM ao Controle do Host

As consequências do CVE-2026-53359 são severas, particularmente em ambientes de nuvem multi-inquilinos.

• Corrupção da Memória do Kernel do Host e Fuga da VM: Um atacante com root em uma VM convidada pode corromper as estruturas da página sombreada do kernel do host. Isso pode levar a uma fuga completa do convidado para o host em sistemas Intel VMX/EPT e AMD SVM/NPT .
• Negação de Serviço (DoS) Confiável: A vulnerabilidade pode ser acionada de forma confiável para causar um kernel panic no host, resultando em uma negação de serviço para todas as VMs de inquilinos co-localizados no mesmo host físico .
• Escalonamento de Privilégio Local (LPE): Em distribuições como o Red Hat Enterprise Linux (RHEL), onde /dev/kvm é gravável por qualquer usuário (0666), um usuário local não privilegiado pode explorar isso como um vetor confiável de escalonamento de privilégio local .
• Pontuação CVSS e Classificação:
  • Pontuação Base CVSSv3: 7.0 (Alta) atribuída pela Amazon Web Services .
  • Severidade Red Hat: Importante .
• Exploração Conhecida: O exploit Januscape foi usado com sucesso como um 0-day na competição kvmCTF do Google, um evento capture-the-flag focado em vulnerabilidades do KVM .

Patches e Versões Corrigidas

A comunidade do kernel Linux agiu rapidamente assim que a falha foi identificada. Uma correção foi confirmada no kernel principal e distribuída para os kernels estáveis, todos lançados em 4 de julho de 2026 .

• Versões de Kernel Estável Corrigidas: 7.1.3, 6.18.38, 6.12.95, 6.6.144 e 6.1.177 .
• O Patch: A correção (commit principal 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb e seus backports) fortalece a lógica de validação em kvm_mmu_get_child_sp(). Agora, é necessário que ambos, o número do quadro do convidado e a função do MMU, correspondam antes de reutilizar uma página sombreada, prevenindo a incompatibilidade de função que leva ao use-after-free .
• Advertência da Red Hat: A Red Hat emitiu uma advertência de segurança (RHSA-2026:13577) classificando o problema como Importante e forneceu pacotes de kernel atualizados para RHEL 8 .

Mitigações Interinas

Embora a aplicação de patches seja a única correção completa, os administradores podem implementar mitigações interinas para reduzir a superfície de ataque:

1. Desabilitar a Virtualização Aninhada: Em sistemas que não exigem VMs aninhadas, desabilitar a virtualização aninhada (EPT/NPT) remove o caminho de ataque através do código de paginação aninhada do MMU sombreado .
2. Restringir o Acesso a /dev/kvm: Para evitar o escalonamento de privilégio local não privilegiado, restrinja o acesso ao dispositivo KVM. Altere as permissões com chmod 660 /dev/kvm e adicione apenas usuários confiáveis ao grupo kvm .

Linha do Tempo da Divulgação

• Descoberta: Hyunwoo Kim (@v4bel) descobriu e relatou a vulnerabilidade.
• Patch: 4 de julho de 2026.
• Divulgação Pública: A divulgação completa foi postada na lista de e-mails oss-security em 6 de julho de 2026, juntamente com uma prova de conceito pública de negação de serviço .