CVE-2026-53359 (Januscape) – 16 år gammal Linux KVM-sårbarhet låter gäster fly
CVE 2026 53359 (”Januscape”) är en use after free sårbarhet i Linux kärnans KVM/x86 shadow MMU som låter en angripare med root behörighet inuti en gäst VM korrumpera värddatorns minne och fly VM isoleringen. Sårbarheten utlöses när kapslad virtualisering är aktiverad, utnyttjar ofullständig rollvalidering i kvm mmu...
Search & fact-check with cited sources for What is CVE-2026-53359 ("Januscape"), a use-after-free vulnerability in the Linux kernel's KVM hyConceptual illustration of a VM escape exploit similar to CVE-2026-53359.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is CVE-2026-53359 ("Januscape"), a use-after-free vulnerability in the Linux kernel's KVM hy. Article summary: CVE-2026-53359 ("Januscape") is a use-after-free vulnerability in the Linux kernel's KVM/x86 shadow MMU that allows a guest with root access to corrupt host kernel memory and escape the virtual machine, affecting both In. Topic tags: general, government, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
openai.com
CVE-2026-53359, med smeknamnet "Januscape", är en allvarlig use-after-free-sårbarhet i Linux-kärnans KVM (Kernel-based Virtual Machine) x86 shadow MMU (Memory Management Unit). Sårbarheten tillåter en angripare med root-behörighet inuti en virtuell gästmaskin (VM) att korrumpera värddatorns kernel-minne och potentiellt fly VM-isoleringen. Buggen introducerades i kernel version 2.6.36 (släppt i augusti 2010) och förblev oupptäckt i cirka 16 år innan den avslöjades och åtgärdades i juli 2026 .
Så fungerar säkerhetshålet: Rollmissmatch i Shadow MMU
Sårbarheten ligger i koden för shadow MMU, specifikt i funktionen kvm_mmu_get_child_sp(). Denna funktion är designad för att återanvända en befintlig shadow page table entry (SPTE) när en gäst ändrar sina sidtabeller. Det kritiska felet är att funktionen bara validerar guest frame number (GFN) när den bestämmer om en shadow-sida ska återanvändas, men den kontrollerar inte MMU-rollen .
Här är en förenklad steg-för-steg-genomgång av attacken:
Ursprungsläge: En gäst-VM har en 2MB-sidmappning. KVM skapar en shadow-sida för denna mappning med rollen direct=1.
PDE-ändring: Angriparen, med root-behörighet inuti gästen, ändrar en page directory entry (PDE) så att den pekar på en icke-löv-sida istället. Den nya mappningen kräver en 4KB-sida, som har rollen direct=0.
Rollmissmatch: När KVM:s kvm_mmu_get_child_sp() letar efter en shadow-sida att återanvända, hittar den den befintliga shadow-sidan eftersom GFN matchar. Den misslyckas dock med att jämföra rollen direct. Den gamla shadow-sidan med direct=1 återanvänds felaktigt för ett sammanhang som nu kräver direct=0.
Use-After-Free: När denna felaktigt återanvända shadow-sidan senare rensas (t.ex. efter att en memslot raderats), tas inte reverse-map-posten (rmap) bort korrekt. Den frigjorda shadow-sidans sptep (shadow page table entry pointer) förblir refererad under rmap-genomgångar (som för dirty logging eller MMU-notifierarvalidering), vilket leder till ett use-after-free-tillstånd .
Konsekvenser och allvarlighetsgrad: Från gästflykt till värddatorövertagande
Konsekvenserna av CVE-2026-53359 är allvarliga, särskilt i molnmiljöer med flera hyresgäster.
Korruption av värddatorns kernel-minne & VM-flykt: En angripare med root i en gäst-VM kan korrumpera värddatorns kernel-shadow-sidstrukturer. Detta kan leda till en fullständig gäst-till-värd-flykt på både Intel VMX/EPT- och AMD SVM/NPT-system .
Pålitlig överbelastning (DoS): Sårbarheten kan pålitligt utlösas för att orsaka en kernel-panik på värddatorn, vilket resulterar i en överbelastning för alla samlokaliserade hyresgäst-VM:ar på samma fysiska värd .
Lokal behörighetseskalering (LPE): På distributioner som Red Hat Enterprise Linux (RHEL) där /dev/kvm är världsskrivbar (0666), kan en oprivilegierad lokal användare utnyttja detta som en pålitlig vektor för lokal behörighetseskalering .
CVSS-poäng och klassificering:
CVSSv3 Basscore:7,0 (Hög) tilldelad av Amazon Web Services .
Känd exploatering: Januscape-exploaten användes framgångsrikt som en 0-day i Googles kvmCTF-tävling, en capture-the-flag-tävling fokuserad på KVM-sårbarheter .
Patchar och åtgärdade versioner
Linux-kärnans community reagerade snabbt när felet identifierades. En korrigering implementerades i huvudgrenen och bakåtporterades till stabila kärnor, alla släppta den 4 juli 2026.
Åtgärdade stabila kärnversioner: 7.1.3, 6.18.38, 6.12.95, 6.6.144 och 6.1.177 .
Korrigeringen: Korrigeringen (mainline-commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb och dess bakåtporteringar) stärker valideringslogiken i kvm_mmu_get_child_sp(). Den kräver nu att både guest frame number och MMU-rollen matchar innan en shadow-sida återanvänds, vilket förhindrar den rollmissmatch som leder till use-after-free .
Red Hat Advisory: Red Hat utfärdade en säkerhetsadvisory (RHSA-2026:13577) som klassificerade problemet som Viktigt och tillhandahöll uppdaterade kernel-paket för RHEL 8 .
Tillfälliga skyddsåtgärder
Även om patchning är den enda kompletta lösningen, kan administratörer implementera tillfälliga skyddsåtgärder för att minska attackytan:
Inaktivera kapslad virtualisering: På system som inte kräver kapslade VM:ar tar bort inaktivering av kapslad virtualisering (EPT/NPT) attackvägen genom shadow MMU:s kod för kapslad sidhantering .
Begränsa åtkomst till /dev/kvm: För att förhindra oprivilegierad lokal behörighetseskalering, begränsa åtkomsten till KVM-enheten. Ändra behörigheter med
chmod 660 /dev/kvm
och lägg endast till betrodda användare i gruppen kvm.
Avslöjandets tidslinje
Upptäckt: Hyunwoo Kim (@v4bel) upptäckte och rapporterade sårbarheten.
Patch: 4 juli 2026.
Offentligt avslöjande: Det fullständiga avslöjandet publicerades på e-postlistan oss-security den 6 juli 2026, tillsammans med en offentlig proof-of-concept för överbelastning .
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
What is the short answer to "CVE-2026-53359 (Januscape) – 16 år gammal Linux KVM-sårbarhet låter gäster fly"?
CVE 2026 53359 (”Januscape”) är en use after free sårbarhet i Linux kärnans KVM/x86 shadow MMU som låter en angripare med root behörighet inuti en gäst VM korrumpera värddatorns minne och fly VM isoleringen.
What are the key points to validate first?
CVE 2026 53359 (”Januscape”) är en use after free sårbarhet i Linux kärnans KVM/x86 shadow MMU som låter en angripare med root behörighet inuti en gäst VM korrumpera värddatorns minne och fly VM isoleringen. Sårbarheten utlöses när kapslad virtualisering är aktiverad, utnyttjar ofullständig rollvalidering i kvm mmu get child sp() och kan orsaka pålitliga kernel panik eller lokal behörighetseskalering.
What should I do next in practice?
Patchade kärnor släpptes den 4 juli 2026. Att stänga av kapslad virtualisering eller begränsa åtkomst till /dev/kvm är effektiva tillfälliga skyddsåtgärder.
