Linux Kernel 16年隱藏炸彈：CVE-2026-53359（Januscape）漏洞詳解與修補指南

簡單嚟講，攻擊步驟如下：

1. 初始狀態： Guest VM入面有個2MB嘅頁面映射。KVM為咗呢個映射建立咗一個direct=1角色嘅shadow page。
2. PDE修改： 有root權限嘅攻擊者喺Guest入面，將一個頁目錄項目（PDE）改咗，令佢指向一個非葉節點（leaf page）嘅頁面。咁樣新嘅映射就需要一個4KB嘅頁面，呢個頁面嘅角色係direct=0。
3. 角色錯配： 當KVM嘅kvm_mmu_get_child_sp()搵緊可以重用嘅shadow page嗰陣，因為GFN吻合，佢就搵到咗舊嗰個shadow page。但佢冇比對個direct角色。結果，舊嗰個direct=1嘅shadow page就被錯誤咁重用咗喺需要direct=0嘅新環境入面 。
4. Use-After-Free： 當呢個被錯誤重用嘅shadow page後嚟被刪除（zapped，例如memslot被刪除之後），佢嘅反向映射（rmap）項目冇被正確移除。被釋放嘅shadow page嘅sptep（shadow頁表項目指標）依然會被rmap走訪（例如進行dirty logging或MMU notifier失效操作）所引用，從而引發use-after-free嘅情況 。

影響同嚴重性：由Guest逃脫到主機被接管

CVE-2026-53359嘅後果好嚴重，特別係喺多租戶嘅雲端環境入面。

• 主機核心記憶體破壞 & VM逃脫： 有Guest VM root權限嘅攻擊者可以破壞主機核心嘅shadow page結構。無論係Intel VMX/EPT定係AMD SVM/NPT系統，都可以造成完整嘅Guest-to-Host逃脫 。
• 可靠嘅服務中斷（DoS）： 呢個漏洞可以被可靠咁觸發嚟造成主機核心崩潰（kernel panic），令到同一部物理主機上嘅所有其他租戶VM都受到影響 。
• 本地權限提升（LPE）： 喺好似Red Hat Enterprise Linux（RHEL）呢類將/dev/kvm設為全域可寫（0666）嘅發行版上，一個冇權限嘅本地用戶可以利用呢個漏洞嚟進行可靠嘅本地權限提升 。
• CVSS分數同分類：
  • CVSSv3基礎分數： Amazon Web Services評為 7.0（高風險） 。
  • Red Hat嚴重性： 重要 。
• 已知攻擊： Januscape漏洞曾經喺Google嘅kvmCTF競賽入面被成功用嚟做0-day攻擊 。

修補程式同已修復版本

Linux核心社群迅速回應咗呢個問題。修補程式已經提交到主線核心，並向後移植到穩定核心，全部喺2026年7月4日發布 。

• 已修復嘅穩定核心版本： 7.1.3, 6.18.38, 6.12.95, 6.6.144, 同 6.1.177 。
• 修補內容： 修補（主線提交 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb 同佢嘅後向移植）加強咗kvm_mmu_get_child_sp()嘅驗證邏輯。依家重用一個shadow page之前，需要同時客體幀號 同 MMU角色都匹配，防止咗導致use-after-free嘅角色錯配重用問題 。
• Red Hat公告： Red Hat發布咗安全公告（RHSA-2026:13577），將呢個問題評為「重要」，並為RHEL 8提供咗更新嘅核心套件 。

臨時緩解措施

雖然打補丁係唯一嘅徹底解決方法，管理員可以實施以下臨時措施嚟減少攻擊面：

1. 停用嵌套虛擬化： 喺唔需要嵌套VM嘅系統上，停用嵌套虛擬化（EPT/NPT）可以移除透過shadow MMU嘅嵌套分頁程式碼呢條攻擊路徑 。
2. 限制/dev/kvm存取權限： 為咗防止冇權限嘅用戶進行本地權限提升，可以限制KVM裝置嘅存取。用指令 chmod 660 /dev/kvm 更改權限，並只將可信嘅用戶加入 kvm 群組 。

揭露時間線

• 發現： Hyunwoo Kim（@v4bel）發現並報告咗呢個漏洞。
• 修補： 2026年7月4日。
• 公開揭露： 完整揭露內容喺2026年7月6日發布到oss-security郵件列表，同時仲發布咗一個公開嘅服務中斷（DoS）概念驗證程式 。