CVE-2026-53359 (Januscape) – 16 år gammal Linux KVM-sårbarhet låter gäster fly

Här är en förenklad steg-för-steg-genomgång av attacken:

1. Ursprungsläge: En gäst-VM har en 2MB-sidmappning. KVM skapar en shadow-sida för denna mappning med rollen direct=1.
2. PDE-ändring: Angriparen, med root-behörighet inuti gästen, ändrar en page directory entry (PDE) så att den pekar på en icke-löv-sida istället. Den nya mappningen kräver en 4KB-sida, som har rollen direct=0.
3. Rollmissmatch: När KVM:s kvm_mmu_get_child_sp() letar efter en shadow-sida att återanvända, hittar den den befintliga shadow-sidan eftersom GFN matchar. Den misslyckas dock med att jämföra rollen direct. Den gamla shadow-sidan med direct=1 återanvänds felaktigt för ett sammanhang som nu kräver direct=0 .
4. Use-After-Free: När denna felaktigt återanvända shadow-sidan senare rensas (t.ex. efter att en memslot raderats), tas inte reverse-map-posten (rmap) bort korrekt. Den frigjorda shadow-sidans sptep (shadow page table entry pointer) förblir refererad under rmap-genomgångar (som för dirty logging eller MMU-notifierarvalidering), vilket leder till ett use-after-free-tillstånd .

Konsekvenser och allvarlighetsgrad: Från gästflykt till värddatorövertagande

Konsekvenserna av CVE-2026-53359 är allvarliga, särskilt i molnmiljöer med flera hyresgäster.

• Korruption av värddatorns kernel-minne & VM-flykt: En angripare med root i en gäst-VM kan korrumpera värddatorns kernel-shadow-sidstrukturer. Detta kan leda till en fullständig gäst-till-värd-flykt på både Intel VMX/EPT- och AMD SVM/NPT-system .
• Pålitlig överbelastning (DoS): Sårbarheten kan pålitligt utlösas för att orsaka en kernel-panik på värddatorn, vilket resulterar i en överbelastning för alla samlokaliserade hyresgäst-VM:ar på samma fysiska värd .
• Lokal behörighetseskalering (LPE): På distributioner som Red Hat Enterprise Linux (RHEL) där /dev/kvm är världsskrivbar (0666), kan en oprivilegierad lokal användare utnyttja detta som en pålitlig vektor för lokal behörighetseskalering .
• CVSS-poäng och klassificering:
  • CVSSv3 Basscore: 7,0 (Hög) tilldelad av Amazon Web Services .
  • Red Hat Severity: Viktig .
• Känd exploatering: Januscape-exploaten användes framgångsrikt som en 0-day i Googles kvmCTF-tävling, en capture-the-flag-tävling fokuserad på KVM-sårbarheter .

Patchar och åtgärdade versioner

Linux-kärnans community reagerade snabbt när felet identifierades. En korrigering implementerades i huvudgrenen och bakåtporterades till stabila kärnor, alla släppta den 4 juli 2026 .

• Åtgärdade stabila kärnversioner: 7.1.3, 6.18.38, 6.12.95, 6.6.144 och 6.1.177 .
• Korrigeringen: Korrigeringen (mainline-commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb och dess bakåtporteringar) stärker valideringslogiken i kvm_mmu_get_child_sp(). Den kräver nu att både guest frame number och MMU-rollen matchar innan en shadow-sida återanvänds, vilket förhindrar den rollmissmatch som leder till use-after-free .
• Red Hat Advisory: Red Hat utfärdade en säkerhetsadvisory (RHSA-2026:13577) som klassificerade problemet som Viktigt och tillhandahöll uppdaterade kernel-paket för RHEL 8 .

Tillfälliga skyddsåtgärder

Även om patchning är den enda kompletta lösningen, kan administratörer implementera tillfälliga skyddsåtgärder för att minska attackytan:

1. Inaktivera kapslad virtualisering: På system som inte kräver kapslade VM:ar tar bort inaktivering av kapslad virtualisering (EPT/NPT) attackvägen genom shadow MMU:s kod för kapslad sidhantering .
2. Begränsa åtkomst till /dev/kvm: För att förhindra oprivilegierad lokal behörighetseskalering, begränsa åtkomsten till KVM-enheten. Ändra behörigheter med chmod 660 /dev/kvm och lägg endast till betrodda användare i gruppen kvm .

Avslöjandets tidslinje

• Upptäckt: Hyunwoo Kim (@v4bel) upptäckte och rapporterade sårbarheten.
• Patch: 4 juli 2026.
• Offentligt avslöjande: Det fullständiga avslöjandet publicerades på e-postlistan oss-security den 6 juli 2026, tillsammans med en offentlig proof-of-concept för överbelastning .