🚨 CVE-2026-53359 — Januscape

Linux KVM Shadow Paging Use-After-Free (Gast-zu-Host-Escape)

Januscape ist eine Linux-Kernel-KVM-Sicherheitslücke, die durch eine Use-After-Free (UAF)-Bedingung im x86 Shadow MMU verursacht wird. Unter anfälligen Konfigurationen kann ein bösartiger Gast den Host-Speicher beschädigen, was zu Host-Abstürzen führt und potenziell die VM-Isolation aufhebt.

---

📌 Übersicht

📖 Beschreibung

Die Sicherheitslücke existiert in KVM's Legacy-Shadow-Paging-Implementierung.

Ein früherer Sicherheitsfix validierte die Guest Frame Number (GFN), überprüfte jedoch nicht die Shadow-Page-Rolle, bevor eine bestehende kvm_mmu_page wiederverwendet wurde.

Dies ermöglicht die Wiederverwendung inkompatibler Shadow-Pages, wodurch veraltete Reverse-Mapping (rmap)-Einträge zurückbleiben, nachdem der Speicher bereits freigegeben wurde.

Nachfolgende MMU-Operationen könnten auf freigegebenen Speicher zugreifen, was zu einer Use-After-Free-Bedingung führt, die den Host-Kernel beschädigen kann.

⚙️ Technische Ursache

Guest modifies page mapping
        │
        ▼
Shadow page reused
without validating role
        │
        ▼
Stale rmap entry remains
        │
        ▼
Shadow page freed
        │
        ▼
Later MMU operation
dereferences freed memory
        │
        ▼
Use-After-Free

😨 Kernel-Panik

[  123.456789] BUG: unable to handle page fault for address: ffff8881xxxxxxxx
[  123.456789] #PF: supervisor read access in kernel mode
[  123.456789] #PF: error_code(0x0000) - not-present page
[  123.456789] CPU: 3 PID: 1234 Comm: poc_3 Tainted: G           OE
[  123.456789] RIP: 0010:kvm_mmu_page_get_gfn+0xXX/0xXX [kvm]
...
[  123.456789] Call Trace:
[  123.456789]  pte_list_remove+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_zap_all_fast+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_notifier_invalidate_range+0xXX/0xXX [kvm]
...
[  123.456789] Kernel panic - not syncing: Fatal exception
[  123.456789] ---[ end Kernel panic - not syncing: Fatal exception ]---

🎯 Mögliche Auswirkungen

• Host-Kernel-Panik (DoS)
• Hypervisor-Speicherbeschädigung
• Verletzung der Gast-zu-Host-Isolation
• Mögliche Privilegienausweitung
• Erhöhtes Risiko in Multi-Tenant-Virtualisierungsumgebungen

Der offizielle Kernel-Fix adressiert die Logik zur Wiederverwendung von Shadow-Pages, indem sichergestellt wird, dass Seitenrollen vor der Wiederverwendung validiert werden.

🖥️ Betroffene Systeme

Potentiell betroffene Umgebungen umfassen:

• Linux-KVM-Hosts
• Intel-x86-Virtualisierung
• AMD-x86-Virtualisierung
• Verschachtelte Virtualisierungsbereitstellungen
• Cloud-Infrastruktur mit KVM

Der anfällige Pfad ist hauptsächlich mit Shadow Paging verbunden, das genutzt werden kann, wenn verschachtelte Virtualisierung verwendet wird.

🔍 Ausnutzung

Aktuelle öffentliche Informationen zeigen:

• ✅ Öffentlicher Denial-of-Service-PoC verfügbar
• ✅ Forschungsoffenlegung veröffentlicht
• ⚠️ Forscher berichten von einem Gast-zu-Host-Escape-Exploit, obwohl die öffentliche Freigabe hauptsächlich eine DoS-Demonstration enthält.

🛡️ Abschwächung

• Aktualisieren Sie auf einen Linux-Kernel, der den Upstream-Fix enthält.
• Wenden Sie Sicherheitsupdates des Kernel-Anbieters an.
• Deaktivieren Sie verschachtelte Virtualisierung, wo sie nicht erforderlich ist.
• Beschränken Sie nicht vertrauenswürdige Gast-Workloads auf ungepatchten Hosts.

🔬 Erkennung

Administratoren sollten:

• Linux-Kernel-Versionen überprüfen.
• Kernel-Absturzprotokolle überwachen (dmesg, journalctl).
• KVM-bezogene Sicherheitshinweise verfolgen.
• Sicherstellen, dass Anbieter-Backports den offiziellen Patch enthalten.

📚 Quellen

• NVD-Hinweis
• Linux-Kernel-Sicherheitsfix
• oss-sec-Offenlegung
• Sicherheitshinweise der Anbieter

⚠️ Haftungsausschluss

Dieses Repository ist ausschließlich für Cybersicherheitsbildung, defensive Forschung, Incident Response und Sensibilisierung für Sicherheitslücken gedacht.

Es sind keine offensiven Werkzeuge oder Exploit-Codes enthalten.