KVM-XJ हॉट पैच

dump_tool.py ऑफ़सेट स्वतः खोजता है; इसका उपयोग कैसे करें, यह समझने के लिए कोड खुद देखें।

भेद्यता सिंहावलोकन

CVE-2026-53359 (Januscape) Linux कर्नेल KVM शैडो MMU में उपयोग-के-बाद-मुक्त (UAF) भेद्यता है।

• अव्यक्त अवधि: 16 वर्ष (अगस्त 2010 से जुलाई 2026)
• प्रभाव क्षेत्र: सभी Intel/AMD x86 सिस्टम जिनमें नेस्टेड वर्चुअलाइज़ेशन सक्षम है
• खतरा स्तर: उच्च जोखिम; VM के अंदर root उपयोगकर्ता होस्ट में पलायन कर सकता है और होस्ट root अनुमतियाँ प्राप्त कर सकता है
• शोषण विधि: होस्ट कर्नेल पैनिक (DoS) या पूर्ण वर्चुअल मशीन पलायन (कोई सार्वजनिक POC नहीं)

भेद्यता का सिद्धांत

kvm_mmu_get_page() फ़ंक्शन हैश तालिका में पुनः उपयोग योग्य शैडो पेज टेबल खोजते समय केवल gfn (अतिथि भौतिक पृष्ठ फ्रेम संख्या) की तुलना करता है, role (पेज टेबल भूमिका/MMU भूमिका) की तुलना नहीं करता, जिससे भूमिका मेल न खाने वाली पेज टेबल गलत तरीके से पुनः उपयोग होती है और UAF उत्पन्न होता है।

修复前（有漏洞）：
┌──────────────────────────────────────┐
│ kvm_mmu_get_page()                   │
│   遍历哈希表                          │
│   if (child->gfn == gfn)             │
│       return child  ← 只比较gfn！     │
│       角色不匹配也复用 → UAF！         │
│   分配新页（安全）                     │
└──────────────────────────────────────┘

अपस्ट्रीम कर्नेल commit 81ccda30b4e8 में एक role तुलना पंक्ति जोड़ी गई:

// 修复前
if (... && spte_to_child_sp(*sptep)->gfn == gfn)

// 修复后
if (... && spte_to_child_sp(*sptep)->gfn == gfn
       && spte_to_child_sp(*sptep)->role.word == role.word)

मेरी मरम्मत विधि

विधि: text_poke बाइनरी हॉट पैच (NOP पैच)

यह कर्नेल स्रोत कोड को संशोधित नहीं करता, फ़ंक्शन को प्रतिस्थापित नहीं करता, बल्कि सीधे चालू कर्नेल की मेमोरी में भेद्य इंस्ट्रक्शन को संशोधित करता है।

सिद्धांत

二进制层面：
偏移 0x104: 49 39 47 28          cmp %rax, 0x28(%r15)   ← 比较 gfn
偏移 0x108: 0f 84 9f 01 00 00    je   +0x19f            ← 匹配就跳转复用

打补丁后：
偏移 0x108: 66 0f 1f 44 00 00    NOP × 6               ← 什么也不做

修复后：
┌──────────────────────────────────────┐
│ kvm_mmu_get_page()                   │
│   遍历哈希表                          │
│   if (child->gfn == gfn)             │
│       NOP（跳转被抹掉，滑过去）        │
│   分配新页（强制走安全路径）            │
│   → 不复用 = 不触发 UAF = 漏洞修复     │
└──────────────────────────────────────┘

तकनीकी कार्यान्वयन

1. kallsyms_lookup_name के माध्यम से kvm_mmu_get_page फ़ंक्शन का पता खोजें
2. kallsyms_lookup_name के माध्यम से text_poke फ़ंक्शन खोजें (कर्नेल कोड हॉट-संशोधन API)
3. सभी CPU को रोकने के लिए stop_machine का उपयोग करें, यह सुनिश्चित करें कि संशोधन सुरक्षित है
4. text_poke से 6-बाइट je इंस्ट्रक्शन को 6-बाइट NOP से बदलें
5. अनलोड करते समय text_poke से मूल इंस्ट्रक्शन को पुनर्स्थापित करें

अन्य समाधान क्यों नहीं

प्रभाव आकलन

परिनियोजन आवश्यकताएँ

कंपाइल और लोड करना

# 编译
make

# 加载热补丁
insmod KVM-XJ.ko

# 查看状态
dmesg | grep KVM-XJ
cat /sys/module/kvm_intel/parameters/nested   # 应该还是 1
lsmod | grep KVM_XJ

# 卸载（恢复原始代码）
rmmod KVM_XJ

अन्य कर्नेल के लिए अनुकूलन

विभिन्न कर्नेल संस्करणों में कंपाइलर ऑप्टिमाइज़ेशन अलग होता है, और je इंस्ट्रक्शन का ऑफ़सेट भी अलग होता है। स्वचालित विश्लेषण के लिए dump_tool.py का उपयोग करें:

# 1. 从母鸡下载 kvm.ko
scp root@母鸡:/lib/modules/.../kvm.ko.xz .
xz -d kvm.ko.xz

# 2. 运行分析工具
python dump_tool.py kvm.ko

# 3. 工具会输出 patch 偏移，修改 KVM-XJ.c 中的 0x108

सत्यापित कर्नेल

सावधानियाँ

1. जो लोग इसका उपयोग करना नहीं जानते या कोड नहीं समझ सकते, उन्हें इसका उपयोग न करने की सलाह दी जाती है।