CVE-2026-53359 (Januscape) 深度解析：蟄伏16年的Linux KVM漏洞，恐讓虛擬機「越獄」失控

以下是攻擊步驟的簡化說明：

1. 初始狀態：來賓虛擬機有一個 2MB 的頁面映射。KVM 為此映射建立了一個角色為 direct=1 的影子頁。
2. PDE 修改：攻擊者在來賓內以 root 權限，修改頁目錄項，使其指向一個非葉節點頁面。這表示新的映射需要一個 4KB 的頁面，其角色為 direct=0。
3. 角色錯配：當 KVM 的 kvm_mmu_get_child_sp() 尋找可重用的影子頁時，它找到了現有的影子頁，因為來賓頁框號碼相符。然而，它沒有比對 direct 角色。於是，原先角色為 direct=1 的影子頁被錯誤地用於現在需要 direct=0 的場景中 。
4. 釋放後使用：當這個被錯誤重用的影子頁稍後被清除（例如，在刪除一個記憶體槽後），其反向映射條目並未被正確移除。已釋放的影子頁的 sptep（影子頁表項指標）在進行反向映射遍歷時（如髒頁記錄或 MMU 通知器失效處理），仍然被參考，從而導致釋放後使用的情況 。

影響與嚴重性：從虛擬機逃脫到主機淪陷

CVE-2026-53359 的後果極為嚴重，尤其是在多租戶雲端環境中。

• 主機核心記憶體損毀與虛擬機逃脫：具備來賓虛擬機 root 權限的攻擊者，可以破壞主機核心的影子頁結構。這可能導致在 Intel VMX/EPT 和 AMD SVM/NPT 系統上，實現完整的來賓到主機逃脫 。
• 可靠的拒絕服務：此漏洞可被可靠地觸發，導致主機核心恐慌，使同一台實體主機上所有共置的租戶虛擬機都無法運行 。
• 本地權限提升：在諸如 Red Hat Enterprise Linux 等發行版上，若 /dev/kvm 設備的權限為全局可讀寫，一個無特權的本地使用者可將此漏洞作為一個可靠的本地權限提升途徑 。
• CVSS 分數與分類：
  • CVSSv3 基礎分數：7.0（高度），由 Amazon Web Services 評定 。
  • Red Hat 嚴重性等級：重要 。
• 已知漏洞利用：Januscape 漏洞利用程式曾在 Google 的 kvmCTF 競賽中成功作為零時差漏洞使用 。

修補程式與已修復版本

Linux 核心社群在發現此缺陷後迅速行動。一個修復程式已提交至主線核心，並反向移植到穩定核心，所有修補均於 2026 年 7 月 4 日 發布 。

• 已修復的穩定核心版本：7.1.3、6.18.38、6.12.95、6.6.144 和 6.1.177 。
• 修補內容：此修補程式（主線提交 81ccda30b4e83d8f5cc4fd50503c44e3a33abfeb 及其反向移植）強化了 kvm_mmu_get_child_sp() 中的驗證邏輯。現在，它要求 同時 比對來賓頁框號碼 和 MMU 角色，才能重用影子頁，從而阻止導致釋放後使用的角色錯配問題 。
• Red Hat 安全通告：Red Hat 發布了安全通告（RHSA-2026:13577），將此問題評定為「重要」，並為 RHEL 8 提供了更新的核心套件 。

臨時緩解措施

雖然安裝修補程式是唯一的根本解決方案，但管理員可以實施臨時緩解措施來減少攻擊面：

1. 關閉巢狀虛擬化：對於不需要巢狀虛擬機的系統，關閉巢狀虛擬化將移除透過影子 MMU 巢狀分頁程式碼的攻擊路徑 。
2. 限制 /dev/kvm 存取：為防止無特權的本地權限提升，請限制對 KVM 設備的存取。使用 chmod 660 /dev/kvm 修改權限，並僅將受信任的使用者加入 kvm 群組 。

揭露時程表

• 發現者：Hyunwoo Kim (@v4bel) 發現並回報了此漏洞。
• 修補日期：2026 年 7 月 4 日。
• 公開揭露：完整的漏洞細節於 2026 年 7 月 6 日發布在 oss-security 郵件列表上，同時還公開了一個拒絕服務的概念驗證程式 。