CVE-2026-53359 (Januscape): บั๊ก Linux KVM อายุ 16 ปีที่เปิดทางให้เครื่องเสมือนหนีออกมาได้

ช่องโหว่ทำงานอย่างไร: ความไม่ตรงกันของ MMU Role ใน Shadow MMU

จุดอ่อนอยู่ที่โค้ดในส่วนของ shadow MMU โดยเฉพาะในฟังก์ชัน kvm_mmu_get_child_sp() ฟังก์ชันนี้ออกแบบมาเพื่อนำรายการตารางเพจเงา (shadow page table entry - SPTE) ที่มีอยู่แล้วกลับมาใช้ใหม่ เมื่อเครื่องเสมือนแก้ไขตารางเพจของตัวเอง จุดอ่อนสำคัญคือ ฟังก์ชันนี้จะตรวจสอบเฉพาะเลขเฟรมของแขก (guest frame number - GFN) ในการตัดสินใจว่าจะใช้ shadow page ซ้ำหรือไม่ แต่ ไม่ได้ ตรวจสอบบทบาทของ MMU (MMU role)

ต่อไปนี้คือขั้นตอนแบบง่าย ๆ ว่าการโจมตีเกิดขึ้นได้อย่างไร:

1. สถานะเริ่มต้น: Guest VM มีการแมปเพจขนาด 2MB KVM จะสร้าง shadow page สำหรับการแมปนี้ด้วยบทบาท direct=1
2. การปรับเปลี่ยน PDE: ผู้โจมตีซึ่งมีสิทธิ์ root ภายใน Guest จะเปลี่ยนรายการไดเรกทอรีเพจ (page directory entry - PDE) ให้ชี้ไปยังเพจที่ไม่ใช่โหนดใบ (non-leaf page) แทน ซึ่งหมายความว่าการแมปใหม่นี้ต้องการเพจขนาด 4KB ซึ่งมีบทบาทเป็น direct=0
3. บทบาทไม่ตรงกัน: เมื่อ kvm_mmu_get_child_sp() ของ KVM ค้นหา shadow page เพื่อนำมาใช้ซ้ำ มันจะพบ shadow page ที่มีอยู่แล้วเพราะ GFN ตรงกัน แต่ที่สำคัญคือ มันไม่สามารถเปรียบเทียบบทบาท direct ได้ ทำให้ shadow page เก่าที่มี direct=1 ถูกนำกลับมาใช้อย่างไม่ถูกต้องในบริบทที่ตอนนี้ต้องการ direct=0
4. Use-After-Free: เมื่อ shadow page ที่ถูกนำมาใช้ผิดนี้ถูก zapped (เช่น หลังจากลบ memslot) รายการ reverse-map (rmap) จะไม่ถูกลบออกอย่างถูกต้อง ตัวชี้ sptep (shadow page table entry pointer) ของ shadow page ที่ถูกปล่อยไปแล้วยังคงถูกอ้างอิงในระหว่างการเดิน rmap (เช่น สำหรับ dirty logging หรือ MMU notifier invalidation) ซึ่งนำไปสู่สภาวะ use-after-free

ผลกระทบและความรุนแรง: จากการหลบหนีของ VM สู่การยึดเครื่อง Host

ผลกระทบจาก CVE-2026-53359 นั้นรุนแรง โดยเฉพาะในสภาพแวดล้อมคลาวด์ที่มีผู้ใช้หลายราย

• การเขียนทับหน่วยความจำ Host Kernel และ VM Escape: ผู้โจมตีที่มีสิทธิ์ root ใน Guest VM สามารถเขียนทับโครงสร้าง shadow page ของเคอร์เนลเครื่องแม่ได้ ซึ่งอาจนำไปสู่การหลบหนีจาก Guest ไปยัง Host ได้อย่างสมบูรณ์บนทั้งระบบ Intel VMX/EPT และ AMD SVM/NPT
• การปฏิเสธการให้บริการ (DoS) ที่เชื่อถือได้: ช่องโหว่นี้สามารถถูกกระตุ้นได้อย่างแน่นอนเพื่อทำให้เคอร์เนลของเครื่องแม่เกิด panic ซึ่งส่งผลให้เกิดการปฏิเสธการให้บริการแก่ VM ของผู้เช่าอื่น ๆ ทั้งหมดที่อยู่บนโฮสต์จริงเครื่องเดียวกัน
• การยกระดับสิทธิ์ในเครื่อง (Local Privilege Escalation - LPE): บนดิสทริบิวชันอย่าง Red Hat Enterprise Linux (RHEL) ที่ /dev/kvm ถูกตั้งค่าให้โลกสามารถเขียนได้ (world-writable 0666) ผู้ใช้ที่ไม่มีสิทธิ์ในเครื่องสามารถใช้ช่องโหว่นี้เป็นช่องทางในการยกระดับสิทธิ์ได้
• คะแนน CVSS และการจัดประเภท:
  • คะแนนฐาน CVSSv3: 7.0 (สูง) โดย Amazon Web Services
  • ระดับความรุนแรงของ Red Hat: สำคัญ (Important)
• การโจมตีที่เป็นที่รู้จัก: การโจมตี Januscape ถูกใช้เป็น 0-day สำเร็จในการแข่งขัน kvmCTF ของ Google ซึ่งเป็นการแข่งขันรูปแบบ capture-the-flag ที่เน้นช่องโหว่ของ KVM

แพตช์และเวอร์ชันที่แก้ไขแล้ว

ชุมชน Linux kernel ตอบสนองอย่างรวดเร็วเมื่อพบช่องโหว่ โดยมีการคอมมิตแพตช์แก้ไขไปยังเคอร์เนลหลัก (mainline) และย้อนกลับไปยังเคอร์เนลเสถียรทั้งหมดในวันที่ 4 กรกฎาคม 2026

• เวอร์ชันเคอร์เนลเสถียรที่แก้ไขแล้ว: 7.1.3, 6.18.38, 6.12.95, 6.6.144 และ 6.1.177
• แพตช์: แพตช์แก้ไข (mainline commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb และ backports) เพิ่มความแข็งแกร่งให้กับตรรกะการตรวจสอบใน kvm_mmu_get_child_sp() โดยขณะนี้กำหนดให้ ทั้ง เลขเฟรมของแขก และ บทบาทของ MMU ต้องตรงกันก่อนที่จะนำ shadow page กลับมาใช้ใหม่ ซึ่งจะป้องกันความไม่ตรงกันของบทบาทที่นำไปสู่ use-after-free
• คำแนะนำของ Red Hat: Red Hat ออกคำแนะนำด้านความปลอดภัย (RHSA-2026:13577) โดยให้คะแนนปัญหานี้ว่ามีความสำคัญ (Important) และจัดเตรียมแพ็คเกจเคอร์เนลที่อัปเดตสำหรับ RHEL 8

มาตรการบรรเทาเบื้องต้น

แม้ว่าการแพตช์จะเป็นทางออกที่สมบูรณ์เพียงวิธีเดียว ผู้ดูแลระบบยังสามารถใช้มาตรการบรรเทาเบื้องต้นเพื่อลดพื้นที่การโจมตี:

1. ปิดใช้งาน Nested Virtualization: ในระบบที่ไม่ต้องการ VM แบบซ้อน (nested VMs) การปิดใช้งาน nested virtualization (EPT/NPT) จะเป็นการลบเส้นทางการโจมตีผ่านโค้ด nested-paging ของ shadow MMU
2. จำกัดการเข้าถึง /dev/kvm: เพื่อป้องกันการยกระดับสิทธิ์ในเครื่อง (LPE) จากผู้ใช้ที่ไม่มีสิทธิ์ ให้จำกัดการเข้าถึงอุปกรณ์ KVM โดยใช้คำสั่ง chmod 660 /dev/kvm และเพิ่มเฉพาะผู้ใช้ที่เชื่อถือได้ลงในกลุ่ม kvm

ไทม์ไลน์การเปิดเผย

• การค้นพบ: Hyunwoo Kim (@v4bel) เป็นผู้ค้นพบและรายงานช่องโหว่
• แพตช์: 4 กรกฎาคม 2026
• การเปิดเผยต่อสาธารณะ: การเปิดเผยแบบเต็มรูปแบบถูกโพสต์ไปยังเมลิงリスト oss-security เมื่อวันที่ 6 กรกฎาคม 2026 พร้อมกับหลักฐานยืนยันแนวคิด (proof-of-concept) สำหรับการปฏิเสธการให้บริการ