CVE-2026-53359 (Januscape) — 16-летняя брешь в Linux KVM: от побега из гостевой системы до захвата хоста

Как работает уязвимость: несоответствие ролей в теневом MMU

Корень проблемы кроется в коде теневого MMU, а именно в функции kvm_mmu_get_child_sp(). Эта функция предназначена для повторного использования существующей записи теневой таблицы страниц (SPTE), когда гость изменяет свои таблицы страниц. Критический недостаток заключается в том, что функция проверяет только номер гостевого кадра (Guest Frame Number, GFN), решая, можно ли переиспользовать теневую страницу, но не проверяет роль MMU (Memory Management Unit) .

Вот упрощённая схема атаки:

1. Исходное состояние: Гостевая VM использует отображение страниц размером 2 МБ. KVM создаёт теневую страницу для этого отображения с ролью direct=1.
2. Изменение PDE: Атакующий, обладая root-доступом внутри гостя, изменяет запись в каталоге страниц (Page Directory Entry, PDE), чтобы она указывала на нелистовую страницу. Новое отображение теперь требует страницу размером 4 КБ, что соответствует роли direct=0.
3. Несовпадение ролей: Когда функция kvm_mmu_get_child_sp() ищет теневую страницу для повторного использования, она находит существующую, так как GFN совпадает. Однако она не сравнивает роль direct. В результате старая теневая страница с ролью direct=1 некорректно используется в контексте, где требуется direct=0 .
4. Use-After-Free: Когда эта неправильно переиспользованная теневая страница впоследствии уничтожается (например, после удаления memslot), запись в обратном отображении (rmap) не удаляется должным образом. Освобождённый указатель на запись теневой страницы (sptep) остаётся в системе и может быть использован при обходе rmap (для ведения журнала грязных страниц или инвалидации MMU notifier), что приводит к состоянию use-after-free .

Воздействие и серьёзность: от побега из гостя до захвата хоста

Последствия CVE-2026-53359 особенно серьёзны в многопользовательских облачных средах.

• Повреждение памяти ядра хоста и побег из VM: Атакующий с root-доступом в гостевой VM может повредить структуры теневых страниц ядра хоста. Это может привести к полному выходу за пределы гостевой изоляции и получению контроля над хостом .
• Надёжный отказ в обслуживании (DoS): Уязвимость может быть надёжно использована для вызова паники ядра хоста, что приведёт к отказу в обслуживании всех других гостевых VM на том же физическом хосте .
• Локальное повышение привилегий (LPE): В дистрибутивах, таких как Red Hat Enterprise Linux (RHEL), где устройство /dev/kvm доступно для записи всем (права 0666), неавторизованный локальный пользователь может использовать эту уязвимость для надёжного повышения своих привилегий .
• Оценка CVSS и классификация:
  • Базовая оценка CVSSv3: 7.0 (Высокая) по данным Amazon Web Services .
  • Степень серьёзности Red Hat: Важная (Important) .
• Известная эксплуатация: Эксплойт для Januscape был успешно использован как 0-day в конкурсе Google kvmCTF, который проводится для выявления уязвимостей в KVM .

Патчи и исправленные версии

Разработчики ядра Linux отреагировали оперативно. Исправление было внесено в основную ветку ядра и перенесено в стабильные версии. Все они были выпущены 4 июля 2026 года .

• Исправленные стабильные версии ядра: 7.1.3, 6.18.38, 6.12.95, 6.6.144 и 6.1.177 .
• Суть патча: Исправление (основной коммит 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb и его бэкпорты) усиливает логику проверки в функции kvm_mmu_get_child_sp(). Теперь для повторного использования теневой страницы требуется совпадение как номера гостевого кадра, так и роли MMU, что предотвращает несоответствие ролей, приводящее к use-after-free .
• Уведомление Red Hat: Red Hat выпустил бюллетень безопасности (RHSA-2026:13577), оценив проблему как «Важную» (Important) и предоставив обновлённые пакеты ядра для RHEL 8 .

Временные меры защиты

Хотя установка патча является единственным полным решением, администраторы могут принять временные меры для снижения поверхности атаки:

1. Отключение вложенной виртуализации: В системах, где вложенные VM не требуются, отключение вложенной виртуализации (EPT/NPT) устраняет путь атаки через код теневого MMU .
2. Ограничение доступа к /dev/kvm: Чтобы предотвратить локальное повышение привилегий, следует ограничить доступ к устройству KVM. Измените права доступа с помощью команды chmod 660 /dev/kvm и добавьте в группу kvm только доверенных пользователей .

Временная шкала раскрытия

• Обнаружение: Уязвимость была обнаружена и сообщена исследователем Хёнву Кимом (Hyunwoo Kim, @v4bel).
• Патч: 4 июля 2026 года.
• Публичное раскрытие: Полное описание уязвимости было опубликовано в почтовой рассылке oss-security 6 июля 2026 года вместе с публичным proof-of-concept (PoC) для отказа в обслуживании .