CVE-2026-53359 (Januscape): Lỗ hổng 16 năm trong Linux KVM cho phép mã độc 'thoát' khỏi máy ảo

CVE-2026-53359, có biệt danh "Januscape," là một lỗ hổng use-after-free (sử dụng sau khi giải phóng) mức độ nghiêm trọng cao trong thành phần KVM (Kernel-based Virtual Machine) x86 shadow MMU (Memory Management Unit) của nhân Linux. Lỗ hổng này cho phép kẻ tấn công có quyền root bên trong máy ảo (guest VM) làm hỏng bộ nhớ kernel của máy chủ (host), có khả năng phá vỡ sự cô lập của máy ảo. Lỗi đã được giới thiệu từ phiên bản kernel 2.6.36 (phát hành tháng 8 năm 2010) và tồn tại trong khoảng 16 năm trước khi được tiết lộ và vá vào tháng 7 năm 2026 .

Cơ chế hoạt động của lỗ hổng: Sự sai lệch vai trò trong Shadow MMU

Lỗ hổng bắt nguồn từ luồng mã của shadow MMU, cụ thể là hàm kvm_mmu_get_child_sp(). Hàm này được thiết kế để tái sử dụng một bảng trang shadow (shadow page table entry - SPTE) hiện có khi máy ảo sửa đổi bảng trang của nó. Sai sót nghiêm trọng nằm ở chỗ hàm chỉ xác thực số khung của máy ảo (guest frame number - GFN) khi quyết định có tái sử dụng một shadow page hay không, nhưng không kiểm tra vai trò của nó (MMU role) .

Dưới đây là các bước tấn công đơn giản hóa:

1. Trạng thái ban đầu: Một máy ảo guest có một ánh xạ trang 2MB. KVM tạo một shadow page cho ánh xạ này với vai trò direct=1.
2. Sửa đổi PDE (Page Directory Entry): Kẻ tấn công, với quyền root bên trong guest, thay đổi một mục nhập thư mục trang (PDE) để trỏ đến một trang không phải lá. Điều này có nghĩa là ánh xạ mới yêu cầu một trang 4KB, có vai trò direct=0.
3. Sai lệch vai trò: Khi kvm_mmu_get_child_sp() của KVM tìm kiếm một shadow page để tái sử dụng, nó tìm thấy shadow page hiện có vì GFN khớp. Tuy nhiên, nó không so sánh vai trò direct. Shadow page cũ với vai trò direct=1 bị tái sử dụng không chính xác trong một ngữ cảnh yêu cầu direct=0 .
4. Use-After-Free: Khi shadow page bị tái sử dụng sai này sau đó bị xóa (zapped) (ví dụ: sau khi một memslot bị xóa), mục nhập bản đồ ngược (rmap) không được loại bỏ đúng cách. Con trỏ sptep (shadow page table entry pointer) của shadow page đã được giải phóng vẫn được tham chiếu trong các bước duyệt rmap (như ghi nhật ký bẩn (dirty logging) hoặc vô hiệu hóa MMU notifier), dẫn đến tình trạng use-after-free .

Tác động và mức độ nghiêm trọng: Từ thoát khỏi máy ảo đến chiếm quyền điều khiển máy chủ

Hậu quả của CVE-2026-53359 rất nghiêm trọng, đặc biệt là trong các môi trường đám mây đa người thuê (multi-tenant).

• Hỏng bộ nhớ Kernel máy chủ & Thoát khỏi máy ảo (VM Escape): Kẻ tấn công có quyền root trong máy ảo guest có thể làm hỏng các cấu trúc shadow page của kernel máy chủ. Điều này có thể dẫn đến việc thoát hoàn toàn từ máy ảo guest sang máy chủ host trên cả hệ thống Intel VMX/EPT và AMD SVM/NPT .
• Từ chối dịch vụ (DoS) đáng tin cậy: Lỗ hổng có thể bị kích hoạt một cách đáng tin cậy để gây ra lỗi kernel máy chủ (host kernel panic), dẫn đến từ chối dịch vụ cho tất cả các máy ảo tenant khác trên cùng một máy chủ vật lý .
• Leo thang đặc quyền cục bộ (Local Privilege Escalation - LPE): Trên các bản phân phối như Red Hat Enterprise Linux (RHEL), nơi /dev/kvm có quyền truy cập toàn hệ thống (0666), người dùng cục bộ không có đặc quyền có thể khai thác lỗ hổng này như một vectơ leo thang đặc quyền cục bộ đáng tin cậy .
• Điểm CVSS và phân loại:
  • Điểm cơ bản CVSSv3: 7.0 (Cao) do Amazon Web Services ấn định .
  • Mức độ nghiêm trọng của Red Hat: Important .
  • Phân loại CWE: CWE-825 (Expired Pointer Dereference) / CWE-416 (Use After Free) .
• Khai thác đã biết: Exploit Januscape đã được sử dụng thành công như một lỗ hổng zero-day trong cuộc thi kvmCTF của Google, một cuộc thi 'capture the flag' tập trung vào các lỗ hổng KVM .

Các bản vá và phiên bản đã được sửa

Cộng đồng nhân Linux đã phản ứng nhanh chóng khi lỗ hổng được xác định. Một bản sửa lỗi đã được cam kết (commit) vào nhân chính (mainline kernel) và được backport đến các nhân ổn định, tất cả đều được phát hành vào ngày 4 tháng 7 năm 2026 .

• Các phiên bản kernel ổn định đã được sửa: 7.1.3, 6.18.38, 6.12.95, 6.6.144, và 6.1.177 .
• Bản vá: Bản sửa lỗi (mainline commit 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb và các backport của nó) tăng cường logic xác thực trong kvm_mmu_get_child_sp(). Hiện tại, nó yêu cầu cả số khung của máy ảo (GFN) và vai trò MMU phải khớp trước khi tái sử dụng một shadow page, ngăn chặn sự sai lệch vai trò dẫn đến use-after-free .
• Cảnh báo của Red Hat: Red Hat đã ban hành một cảnh báo bảo mật (RHSA-2026:13577) đánh giá vấn đề là Important và cung cấp các gói kernel đã cập nhật cho RHEL 8 .

Các biện pháp giảm thiểu tạm thời

Mặc dù vá lỗi là giải pháp duy nhất hoàn chỉnh, quản trị viên có thể thực hiện các biện pháp giảm thiểu tạm thời để giảm bề mặt tấn công:

1. Vô hiệu hóa Nested Virtualization: Trên các hệ thống không yêu cầu máy ảo lồng nhau (nested VMs), việc vô hiệu hóa nested virtualization (EPT/NPT) sẽ loại bỏ đường tấn công thông qua mã phân trang lồng nhau của shadow MMU .
2. Hạn chế quyền truy cập /dev/kvm: Để ngăn chặn leo thang đặc quyền cục bộ, hãy hạn chế quyền truy cập vào thiết bị KVM. Thay đổi quyền bằng lệnh

   chmod 660 /dev/kvm

   và chỉ thêm những người dùng đáng tin cậy vào nhóm kvm .

Dòng thời gian tiết lộ

• Phát hiện: Hyunwoo Kim (@v4bel) đã phát hiện và báo cáo lỗ hổng.
• Bản vá: Ngày 4 tháng 7 năm 2026.
• Tiết lộ công khai: Thông tin đầy đủ đã được đăng lên danh sách gửi thư oss-security vào ngày 6 tháng 7 năm 2026, cùng với một mã khai thác bằng chứng về khái niệm (proof-of-concept) tấn công từ chối dịch vụ công khai .