Chino | Inglés

Chino

Tutorial para actualizar el kernel de Linux a 7.1.3 y corregir CVE-2026-53359

Declaración: Este artículo solo documenta el proceso de corrección en mi propio entorno de servidor. No es un análisis de seguridad profesional. Si hay errores, agradezco las correcciones.

Nota de verificación: Tras comparar el código fuente, se confirma que el kernel de Linux 7.1.3 incluye el commit de corrección 81ccda30b4e8 ("KVM: x86: Fix shadow paging use-after-free due to unexpected role"). Este parche añade una condición de coincidencia role.word en la función kvm_mmu_get_child_sp() en arch/x86/kvm/mmu/mmu.c, eliminando el UAF de shadow paging causado por la falta de coincidencia de role. Por lo tanto, actualizar a 7.1.3 corrige eficazmente esta vulnerabilidad.

1. Introducción

Este documento proporciona dos métodos para actualizar el kernel de Linux a 7.1.3, con el fin de corregir CVE-2026-53359: instalación mediante RPM de ELRepo (recomendado) y compilación desde el código fuente.

Impacto de la vulnerabilidad:

En el escenario de Shadow Paging de KVM x86, bajo condiciones anómalas, las páginas liberadas pueden seguir siendo referenciadas por entradas rmap, lo que causa un problema de seguridad de memoria.

Referencias de la vulnerabilidad:

• NVD - CVE-2026-53359
• Januscape - PoC

2. Información del entorno

Verificar el entorno actual:

cat /etc/os-release
uname -r

3. Métodos de actualización

Este tutorial ofrece dos métodos de actualización, elija según su entorno:

Método 1: Instalación mediante RPM de ELRepo (recomendado)

Adecuado para entornos con acceso normal al repositorio ELRepo. No requiere compilación, operación simple.

# Importar la clave GPG de ELRepo
rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org

# Instalar el repositorio ELRepo
dnf install https://www.elrepo.org/elrepo-release-8.el8.elrepo.noarch.rpm

# Instalar el kernel principal más reciente
dnf --enablerepo=elrepo-kernel install kernel-ml

# Establecer el nuevo kernel como opción de arranque predeterminada
grubby --set-default /boot/vmlinuz-7.1.3-1.el8.elrepo.x86_64

# Reiniciar para aplicar los cambios
reboot

Nota: El número de versión del kernel puede cambiar debido a actualizaciones de ELRepo. Consulte la versión realmente instalada. Después de la instalación, puede verificar con ls /boot/vmlinuz-*.

Método 2: Compilación desde el código fuente

Adecuado para entornos sin acceso al repositorio ELRepo, o cuando se necesita la versión estable oficial de kernel.org. Los pasos detallados se muestran a continuación.

4. Pasos para la compilación desde el código fuente

Dado que en el entorno de mi servidor:

• El repositorio RPM de Kernel de ELRepo no se puede obtener de manera estable;
• No se encontró un paquete de actualización RPM adecuado para el entorno actual;
• Se necesita usar directamente la versión de corrección estable oficial del kernel de Linux;

Por lo tanto, se adopta:

La compilación desde el código fuente estable oficial de kernel.org para actualizar el kernel.

Nota:

Esta solución es solo un método para el entorno de mi servidor. No significa que todos los entornos deban usar la compilación desde el código fuente.

5. Descargar el código fuente

Descarga oficial:

https://cdn.kernel.org/pub/linux/kernel/v7.x/linux-7.1.3.tar.xz

Comando de descarga:

wget https://cdn.kernel.org/pub/linux/kernel/v7.x/linux-7.1.3.tar.xz

Ubicación de subida (entorno sin conexión):

/root/linux-7.1.3.tar.xz

6. Instalar dependencias de compilación

dnf groupinstall "Development Tools" -y

dnf install -y \
  ncurses-devel \
  elfutils-libelf-devel \
  openssl-devel \
  bc \
  bison \
  flex \
  perl \
  dwarves

7. Descomprimir el código fuente

mkdir -p /usr/src
cd /usr/src
tar -xf /root/linux-7.1.3.tar.xz
cd linux-7.1.3
ls Makefile  # Debería mostrar: Makefile

8. Usar la configuración existente

# Copiar la configuración actual
cp /boot/config-$(uname -r) .config

# Generar nueva configuración
make olddefconfig

# Verificar la configuración de KVM
grep -E "CONFIG_KVM|CONFIG_KVM_INTEL" .config

Salida esperada:

CONFIG_KVM=m
CONFIG_KVM_X86=m
CONFIG_KVM_INTEL=m

9. Compilar el kernel

# Ver el número de hilos de CPU
nproc

# Compilar (usando todos los núcleos)
make -j$(nproc)

# Verificar la imagen del kernel
ls -lh arch/x86/boot/bzImage

Nota: El tiempo de compilación depende del rendimiento de la CPU y el almacenamiento.

10. Instalar los módulos del kernel

# Instalar módulos
make modules_install

# Verificar la instalación
ls /lib/modules/

# Verificar los módulos de KVM
find /lib/modules/7.1.3 -name "kvm*.ko*"

Salida esperada:

kvm.ko
kvm-intel.ko
kvm-amd.ko

11. Instalar la imagen del kernel

# Instalar el kernel
make install

# Verificar la instalación
ls -lh /boot | grep 7.1.3

Salida esperada:

vmlinuz-7.1.3
initramfs-7.1.3.img
System.map-7.1.3

12. Actualizar las opciones de arranque

# Generar la configuración de GRUB
grub2-mkconfig -o /boot/grub2/grub.cfg

# Establecer el kernel predeterminado
grubby --set-default /boot/vmlinuz-7.1.3

# Verificar el kernel predeterminado
grubby --default-kernel

Salida esperada:

/boot/vmlinuz-7.1.3

13. Reiniciar

reboot

14. Verificación

Verificar la versión del kernel:

uname -r
# Esperado: 7.1.3

Verificar los módulos de KVM:

lsmod | grep kvm
# Esperado: kvm_intel, kvm, irqbypass

Verificar la ubicación del módulo de KVM:

modinfo kvm_intel | grep filename
# Esperado: /lib/modules/7.1.3/kernel/arch/x86/kvm/kvm-intel.ko

15. Reversión

Importante: El kernel antiguo no debe eliminarse inmediatamente.

Listar los kernels disponibles:

grubby --info=ALL | grep kernel

Si el nuevo kernel tiene problemas, establecer el kernel antiguo:

grubby --set-default /boot/vmlinuz-6.18.8-1.el8.elrepo.x86_64
reboot

16. Resultado final

Inglés

Actualización del kernel de Linux a 7.1.3 para corregir CVE-2026-53359

Aviso: Este repositorio solo documenta mi proceso de corrección personal en un entorno de servidor específico. No es un análisis de seguridad profesional. Las correcciones son bienvenidas.

Nota de verificación: La comparación del código fuente confirma que el kernel de Linux 7.1.3 incluye el commit de corrección 81ccda30b4e8 ("KVM: x86: Fix shadow paging use-after-free due to unexpected role"). El parche añade una condición de coincidencia role.word en la función kvm_mmu_get_child_sp() en arch/x86/kvm/mmu/mmu.c, eliminando el UAF de shadow paging causado por la falta de coincidencia de role. Por lo tanto, actualizar a 7.1.3 corrige eficazmente esta vulnerabilidad.

1. Introducción

Esta guía proporciona dos métodos para actualizar el kernel de Linux a 7.1.3, con el fin de corregir CVE-2026-53359: instalación mediante RPM de ELRepo (recomendado) y compilación desde el código fuente.

La vulnerabilidad está relacionada con shadow paging de KVM x86. Bajo condiciones específicas, las páginas liberadas pueden seguir siendo referenciadas por entradas rmap, lo que causa un posible problema de seguridad de memoria.

Referencias:

• NVD - CVE-2026-53359
• Januscape - PoC

2. Entorno

Verificar el entorno actual:

cat /etc/os-release
uname -r

3. Métodos de actualización

Esta guía proporciona dos métodos de actualización. Elija según su entorno:

Método A: Instalación mediante RPM de ELRepo (recomendado)

Para entornos con acceso confiable al repositorio ELRepo. No requiere compilación.

# Importar la clave GPG de ELRepo
rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org

# Instalar el repositorio ELRepo
dnf install https://www.elrepo.org/elrepo-release-8.el8.elrepo.noarch.rpm

# Instalar el kernel principal más reciente
dnf --enablerepo=elrepo-kernel install kernel-ml

# Establecer el nuevo kernel como opción de arranque predeterminada
grubby --set-default /boot/vmlinuz-7.1.3-1.el8.elrepo.x86_64

# Reiniciar para aplicar los cambios
reboot

Nota: Los números de versión del kernel pueden cambiar con las actualizaciones de ELRepo. Verifique la versión realmente instalada con ls /boot/vmlinuz-*.

Método B: Compilación desde el código fuente

Para entornos sin acceso a ELRepo, o cuando se requiere la versión estable oficial de kernel.org. Consulte los pasos detallados a continuación.

4. Pasos para la compilación desde el código fuente

En mi entorno:

• El repositorio RPM de Kernel de ELRepo no se podía acceder de manera confiable.
• No encontré otro método de actualización RPM adecuado.
• Necesitaba implementar la versión estable oficial del kernel de Linux.

Por lo tanto:

Utilicé el código fuente estable oficial de kernel.org y compilé el Kernel 7.1.3 manualmente.

Nota:

Esta es mi propia solución de entorno, no un método de actualización obligatorio para todos los sistemas.

5. Descargar el código fuente del kernel

Fuente oficial:

https://cdn.kernel.org/pub/linux/kernel/v7.x/linux-7.1.3.tar.xz

Descargar:

wget https://cdn.kernel.org/pub/linux/kernel/v7.x/linux-7.1.3.tar.xz

Ubicación de subida (si está sin conexión):

/root/linux-7.1.3.tar.xz

6. Instalar dependencias de compilación

dnf groupinstall "Development Tools" -y

dnf install -y \
  ncurses-devel \
  elfutils-libelf-devel \
  openssl-devel \
  bc \
  bison \
  flex \
  perl \
  dwarves \
  tar \
  xz

Verificar el compilador:

gcc --version

7. Descomprimir el código fuente

mkdir -p /usr/src
cd /usr/src
tar -xf /root/linux-7.1.3.tar.xz
cd linux-7.1.3
ls Makefile  # Debería mostrar: Makefile

8. Importar la configuración del kernel existente

# Copiar la configuración actual del kernel
cp /boot/config-$(uname -r) .config

# Generar nueva configuración
make olddefconfig

# Verificar la configuración de KVM
grep -E "CONFIG_KVM|CONFIG_KVM_INTEL" .config

Salida esperada:

CONFIG_KVM=m
CONFIG_KVM_X86=m
CONFIG_KVM_INTEL=m

9. Compilar el kernel

# Verificar los hilos de CPU
nproc

# Compilar (usar todos los núcleos disponibles)
make -j$(nproc)

# Verificar la imagen del kernel
ls -lh arch/x86/boot/bzImage

Nota: El tiempo de compilación depende del rendimiento de la CPU y el almacenamiento.

10. Instalar los módulos del kernel

# Instalar módulos
make modules_install

# Verificar la instalación
ls /lib/modules/

# Verificar los módulos de KVM
find /lib/modules/7.1.3 -name "kvm*.ko*"

Salida esperada:

kvm.ko
kvm-intel.ko
kvm-amd.ko

11. Instalar la imagen del kernel

# Instalar el kernel
make install

# Verificar la instalación
ls -lh /boot | grep 7.1.3

Salida esperada:

vmlinuz-7.1.3
initramfs-7.1.3.img
System.map-7.1.3

12. Configurar el gestor de arranque GRUB

# Generar la configuración de GRUB
grub2-mkconfig -o /boot/grub2/grub.cfg

# Establecer el kernel predeterminado
grubby --set-default /boot/vmlinuz-7.1.3

# Verificar el kernel predeterminado
grubby --default-kernel

Salida esperada:

/boot/vmlinuz-7.1.3

13. Reiniciar

reboot

14. Verificación después del reinicio

Verificar la versión del kernel:

uname -r
# Esperado: 7.1.3

Verificar los módulos de KVM:

lsmod | grep kvm
# Esperado: kvm_intel, kvm, irqbypass

Verificar la ubicación del módulo de KVM:

modinfo kvm_intel | grep filename
# Esperado: /lib/modules/7.1.3/kernel/arch/x86/kvm/kvm-intel.ko

15. Procedimiento de reversión

Importante: Los kernels antiguos no deben eliminarse inmediatamente.

Listar los kernels disponibles:

grubby --info=ALL | grep kernel

Si el nuevo kernel tiene problemas, establecer el kernel antiguo:

grubby --set-default /boot/vmlinuz-6.18.8-1.el8.elrepo.x86_64
reboot

16. Resultado final

Licencia

MIT