📌 Aperçu

Champ	Valeur
CVE	CVE-2026-53359
Surnom	Januscape
Composant	Noyau Linux KVM (Shadow MMU x86)
Classe de bug	Use-After-Free
Vecteur d'attaque	VM invitée
Impact	Corruption de la mémoire du noyau hôte
Plateformes affectées	Intel VT-x & AMD-V
Divulgation	Juillet 2026

---

📖 Description

La vulnérabilité réside dans l'implémentation héritée du shadow paging de KVM.

Un correctif de sécurité antérieur validait le Guest Frame Number (GFN) mais ne vérifiait pas le rôle de la page shadow avant de réutiliser un kvm_mmu_page existant.

Cela permet la réutilisation de pages shadow incompatibles, laissant des entrées de mappage inverse (rmap) obsolètes après que la mémoire a déjà été libérée.

Des opérations MMU ultérieures peuvent déréférencer la mémoire libérée, entraînant une condition Use-After-Free pouvant corrompre le noyau hôte.

---

⚙️ Cause racine technique

Guest modifies page mapping
        │
        ▼
Shadow page reused
without validating role
        │
        ▼
Stale rmap entry remains
        │
        ▼
Shadow page freed
        │
        ▼
Later MMU operation
dereferences freed memory
        │
        ▼
Use-After-Free

---

😨 Panique du noyau

[  123.456789] BUG: unable to handle page fault for address: ffff8881xxxxxxxx
[  123.456789] #PF: supervisor read access in kernel mode
[  123.456789] #PF: error_code(0x0000) - not-present page
[  123.456789] CPU: 3 PID: 1234 Comm: poc_3 Tainted: G           OE
[  123.456789] RIP: 0010:kvm_mmu_page_get_gfn+0xXX/0xXX [kvm]
...
[  123.456789] Call Trace:
[  123.456789]  pte_list_remove+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_zap_all_fast+0xXX/0xXX [kvm]
[  123.456789]  kvm_mmu_notifier_invalidate_range+0xXX/0xXX [kvm]
...
[  123.456789] Kernel panic - not syncing: Fatal exception
[  123.456789] ---[ end Kernel panic - not syncing: Fatal exception ]---

---

🎯 Impact potentiel

• Panique du noyau hôte (DoS)
• Corruption de la mémoire de l'hyperviseur
• Violation de l'isolation Invité→Hôte
• Élévation de privilèges possible
• Risque accru dans les environnements de virtualisation multi-locataires

Le correctif officiel du noyau corrige la logique de réutilisation des pages shadow en s'assurant que les rôles des pages sont validés avant la réutilisation.

---

🖥️ Systèmes concernés

Les environnements potentiellement affectés incluent :

• Hôtes Linux KVM
• Virtualisation Intel x86
• Virtualisation AMD x86
• Déploiements de virtualisation imbriquée
• Infrastructure cloud utilisant KVM

Le chemin vulnérable est principalement associé au shadow paging, qui peut être activé lorsque la virtualisation imbriquée est utilisée.

---

🔍 Exploitation

Les informations publiques actuelles indiquent :

• ✅ Preuve de concept de déni de service publique disponible
• ✅ Divulgation de recherche publiée
• ⚠️ Les chercheurs rapportent un exploit d'évasion Invité→Hôte, bien que la publication publique inclue principalement une démonstration DoS.

---

🛡️ Atténuation

• Mettre à jour vers un noyau Linux contenant le correctif en amont.
• Appliquer les mises à jour de sécurité du noyau du fournisseur.
• Désactiver la virtualisation imbriquée lorsqu'elle n'est pas nécessaire.
• Restreindre les charges de travail invitées non fiables sur des hôtes non corrigés.

---

🔬 Détection

Les administrateurs devraient :

• Auditer les versions du noyau Linux.
• Surveiller les journaux de crash du noyau (dmesg, journalctl).
• Suivre les avis de sécurité liés à KVM.
• Valider que les rétroportages du fournisseur incluent le correctif officiel.

---

📚 Références

• Avis NVD
• Correctif de sécurité du noyau Linux
• Divulgation oss-sec
• Avis de sécurité du fournisseur

---

⚠️ Avertissement

Ce dépôt est destiné uniquement à l'éducation en cybersécurité, à la recherche défensive, à la réponse aux incidents et à la sensibilisation aux vulnérabilités.

Aucun outil offensif ni code d'exploitation n'est inclus.

---